Persyaratan Uji Penetrasi SAMA
Jika Bank Sentral Saudi mengawasi Anda, uji penetrasi adalah kewajiban tahunan yang berulang, bukan sebuah proyek. Kerangka ini spesifik pada dua hal yang menentukan apakah bukti Anda bertahan saat ditinjau: pengujian harus independen, dan cakupannya harus menjangkau sistem yang dapat disentuh pelanggan Anda.
Persyaratannya, dinyatakan secara lugas
Lembaga yang diawasi Bank Sentral Saudi diharapkan menjalankan uji penetrasi eksternal independen minimal setahun sekali, dengan cakupan yang meliputi sistem yang menghadap keluar, aplikasi web dan infrastruktur jaringan.
Tiga kata dalam kalimat itu memikul bebannya, dan masing-masing merupakan titik di mana bukti umumnya gagal saat ditinjau:
- Independen - tidak dilakukan oleh tim yang membangun atau mengoperasikan sistem yang diuji.
- Tahunan, minimal - siklus tahunan adalah lantai, dan perubahan material pada sistem yang terekspos internet merupakan pemicu tersendiri.
- Uji penetrasi - bukan pemindaian kerentanan dengan sampul berbeda. Auditor kini cakap membedakan keduanya.
Di mana bukti SAMA sebenarnya gagal
Empat pola kegagalan menjelaskan sebagian besar hal yang dipersoalkan, dan keempatnya lebih murah dihindari daripada diperbaiki.
Pemindaian yang diajukan sebagai uji penetrasi
Cirinya struktural: setiap temuan berupa CVE dengan deskripsi dari vendor, tidak ada yang dirangkai, dan tidak ada narasi yang menjelaskan apa yang bisa dicapai penyerang. Uji penetrasi menunjukkan dampak: layanan terekspos ini menghasilkan kredensial, kredensial itu menjangkau sistem internal ini, yang menyimpan data ini. Jika laporan Anda adalah daftar versi yang diurutkan, itu pemindaian. Perbedaannya selengkapnya.
Independensi yang tidak bertahan
Pengujian yang dilakukan tim rekayasa, oleh penyedia layanan terkelola yang juga menjalankan infrastrukturnya, atau oleh vendor yang menilai produknya sendiri. Masing-masing kasus itu tidak memenuhi syarat independensi, sebaik apa pun pengujiannya dijalankan.
Cakupan yang melewatkan lapisan yang menghadap pelanggan
Backend mobile banking, API mitra, integrasi fintech baru yang diluncurkan setelah cakupan ditandatangani. Sistem yang terekspos internet dan aplikasi web disebut eksplisit dalam kerangka ini, sehingga celah di sini merupakan kelalaian langsung, bukan soal penilaian.
Tanpa pengujian ulang
Laporan dengan dua belas temuan berkeparahan tinggi dan tanpa bukti bahwa ada yang ditutup adalah, dari sudut pandang peninjau, dokumentasi atas masalah yang belum selesai. Siklus perbaikan dan pengujian ulang itulah yang mengubah sebuah pengujian menjadi bukti kepatuhan.
Apa yang dicakup penugasan
Dasar regulasi, setiap tahun:
- Pengujian jaringan eksternal - seluruh aset yang terekspos internet: perbankan daring, antarmuka pembayaran, VPN dan akses jarak jauh, infrastruktur surel, dan host yang dipublikasikan untuk sebuah proyek dan tak pernah ditarik.
- Pengujian aplikasi web dan API - autentikasi dan penanganan sesi, otorisasi dan kontrol akses antarnasabah, logika bisnis pada alur transaksi, injeksi, dan API di balik aplikasi seluler. Di sebuah lembaga keuangan, temuan logika bisnis biasanya yang paling penting dan yang tidak pernah ditemukan otomatisasi.
Direkomendasikan bersamanya, dan disertakan sebagian besar lembaga dalam siklus tahunan atau bergantian:
- Pengujian jaringan internal - sejauh mana sebuah pijakan benar-benar menjangkau, dan apakah segmentasi antara lingkungan korporat dan lingkungan pembayaran bertahan.
- Active Directory - penyalahgunaan ADCS, Kerberoasting, delegasi dan jalur ACL menuju Domain Admin. Begitulah pijakan sederhana berubah menjadi kompromi seluruh bank, dan hal itu tak terlihat oleh pengujian eksternal.
- Cloud - eskalasi Entra ID dan Azure RBAC, penyimpanan terekspos dan kesalahan konfigurasi identitas, di tempat beban kerja berpindah.
- Asumsi pelanggaran - memulai dari sebuah pijakan alih-alih dari perimeter, yang menjawab pertanyaan yang sesungguhnya diajukan dewan direksi: sejauh mana seseorang bisa melangkah?
Bila Anda juga menangani data kartu, Persyaratan 11.4 PCI DSS berlaku paralel dan bertumpang tindih secara substansial - dicakup bersama, itu satu penugasan, bukan dua.
Hasil akhirnya
Laporan yang disusun mengikuti cara lembaga keuangan benar-benar menggunakannya: ringkasan eksekutif yang dapat dibaca dewan direksi dan regulator Anda tanpa penerjemahan, bagian teknis dengan langkah reproduksi, bukti dan peringkat CVSS untuk para insinyur Anda, serta pemetaan eksplisit dari tiap temuan ke kontrol kerangka yang bersangkutan, sehingga tim kepatuhan Anda tidak perlu menyusun pemetaan itu sendiri.
Lalu bagian-bagian yang mengubah laporan menjadi bukti: dukungan perbaikan selama Anda memperbaiki, pengujian ulang atas temuan yang telah ditutup, dan surat atestasi yang menyatakan pengujian telah dilakukan, oleh siapa, terhadap cakupan apa dan pada tanggal berapa. Semuanya termasuk. Contoh laporan memperlihatkan formatnya.
Siapa yang melakukannya
Anda berurusan langsung dengan pengujinya - tanpa manajer akun, tanpa junior yang menjalankan perkakas atas nama senior di faktur, tanpa jeda tiga pekan antara pengujian dan laporan. Untuk tenggat regulasi, kelangsungan itu biasanya yang membuat tanggalnya tercapai.
Kualifikasi, karena hal ini selalu ditanyakan dalam pengadaan sektor keuangan: OSCP+, eCPPT, eWPT, eCIR, ditambah AZ-500, SC-200 dan SC-300 untuk bagian Microsoft dan Azure - semuanya dapat diverifikasi melalui OffSec credential wallet. Sebelum menekuni pekerjaan ofensif penuh waktu, saya adalah detection engineer dan analis CTI, latar yang berguna khususnya di sektor ini: laporannya memberi tahu Anda bukan hanya bagaimana sebuah jalur serangan bekerja, melainkan juga bagaimana ia akan tampak di SIEM Anda, dan apakah pemantauan Anda akan menangkapnya.
Saya bekerja jarak jauh dari Amman pada GMT+3, jam dan pekan kerja yang sama dengan Riyadh, dalam bahasa Arab atau Inggris.
Memulai
Sampaikan jenis lisensi Anda, apa yang masuk cakupan, dan kapan pengujian harus selesai. Anda akan menerima penawaran harga tetap dan tanggal mulai. Jika siklus tahunan Anda mendekat dan Anda ingin melihat eksposur eksternal saat ini lebih dulu, pemindaian perimeter gratis memakan beberapa menit.
Terkait: uji penetrasi di Arab Saudi untuk melihat bagaimana SAMA berdampingan dengan NCA ECC, kontrol 2-11 ECC bila Anda juga memikul kewajiban pemerintah, dan ikhtisar kepatuhan untuk selebihnya. Hubungi saya - bahasa Arab dipersilakan.
Pertanyaan seputar SAMA
Organisasi anggota yang diawasi Bank Sentral Saudi: bank, perusahaan asuransi dan reasuransi, perusahaan pembiayaan, biro kredit, dan penyedia jasa pembayaran termasuk fintech yang beroperasi dengan lisensi SAMA atau di dalam sandbox regulasinya. Jika lisensi Anda berasal dari SAMA, kerangka ini berlaku bagi Anda. Fintech kerap terkejut dengan hal ini - kewajibannya datang bersama lisensi, pada tahap ketika program keamanan seringkali masih terbentuk.
Uji penetrasi eksternal independen minimal setahun sekali. Kata "minimal" benar-benar bekerja dalam kalimat itu: perubahan material pada sistem yang terekspos internet umumnya diharapkan memicu pengujian terlepas dari posisi Anda dalam siklus tahunan, dan lembaga yang meluncurkan platform baru menghadap pelanggan enam bulan setelah uji tahunannya tanpa mengujinya akan menghadapi percakapan yang sulit. Perlakukan uji tahunan sebagai lantai dan perubahan signifikan sebagai pemicu tersendiri.
Pengujian tidak boleh dilakukan oleh orang-orang yang membangun atau mengoperasikan sistem yang diuji. Fungsi keamanan internal yang melapor terpisah dari rekayasa lebih mendekati, tetapi jawaban yang paling bersih dan paling diterima adalah pihak eksternal tanpa peran apa pun dalam membangun atau menjalankan lingkungan tersebut. Inilah persyaratan yang paling sering keliru dipenuhi lembaga, dan mereka menemukannya saat ditinjau alih-alih saat penentuan cakupan - urutan yang mahal.
Cakupan yang disebut eksplisit adalah sistem yang terekspos internet, aplikasi web dan infrastruktur jaringan. Sebagian besar lembaga melangkah lebih jauh, dan dengan alasan yang baik: pengujian yang membuktikan penyerang dapat mencapai perimeter tetapi tidak pernah menanyakan apa yang terjadi setelahnya hanya menjawab separuh pertanyaan. Pola yang berjalan baik adalah asesmen eksternal dan aplikasi web secara penuh setiap tahun sebagai dasar regulasi, dengan pengujian jaringan internal dan Active Directory disertakan minimal setiap dua tahun atau kapan pun lingkungan berubah secara material.
Bisa, dan itu kasus yang biasa. Anda umumnya sudah memiliki pemetaan kerangka, fungsi GRC dan hubungan dengan audit internal; yang Anda perlukan adalah pengujian dan bukti yang menyatu ke dalamnya. Saya menyusun cakupan terhadap kontrol yang harus Anda penuhi, memetakan temuan kembali ke kontrol itu dalam laporan, dan menyerahkan pengujian ulang serta atestasi yang perlu diarsipkan tim kepatuhan Anda. Saya bukan konsultansi GRC dan tidak akan berusaha menjual program kerangka kepada Anda - pengujian adalah bagian yang saya kerjakan.
Uji SAMA tahunan sudah dekat?
Independen, dicakup sesuai kerangka, dengan pengujian ulang dan atestasi yang diarsipkan tim kepatuhan Anda.