Wymagania NESA dotyczące testów penetracyjnych
Information Assurance Standards NESA są nietypowe wśród standardów zgodności tym, że są precyzyjne w dwóch kwestiach, co do których większość pozostaje ogólnikowa: naprawa ustaleń krytycznych ma swój zegar, a kwalifikacje wykonawcy testu podlegają weryfikacji. Obie zmieniają sposób, w jaki powinni Państwo kupować test.
Czego wymaga standard
W ramach technicznego zarządzania podatnościami Information Assurance Standards ZEA wymagają, by oceny podatności i testy penetracyjne były prowadzone i śledzone. Dla objętych podmiotów sprowadza się to w praktyce do testów rocznych — ale obowiązek jest cyklem, a nie zdarzeniem, a ocenie podlegają trzy części:
- Test — wykonany, niezależnie, w zakresie odpowiednim dla podmiotu.
- Naprawa — ustalenia krytyczne i wysokie udokumentowane i naprawione, z zapisanymi decyzjami tam, gdzie ryzyko zamiast tego zostaje zaakceptowane.
- Retest — dowód, że poprawki zadziałały, w określonym oknie, typowo 90 dni.
Podmioty, które nie przechodzą NESA w zakresie testów penetracyjnych, niemal zawsze wykonały pierwszą część, a nie wykonały dwóch pozostałych.
Dwa wymagania, które zmieniają sposób zakupu
Zegar 90 dni oznacza, że nie można testować późno
Jeśli ustalenia krytyczne i wysokie muszą zostać naprawione i poddane retestowi w ciągu 90 dni, konsekwencja kalendarzowa jest nieunikniona: test przeprowadzony w ostatnim miesiącu roku zgodności nie zostawia marginesu, by cokolwiek naprawić i to udowodnić. Zanim raport trafi na biurko, zostaną tygodnie, a nie kwartał.
Testujcie z zapasem co najmniej kwartału. Gdy środowisko jest duże albo ostatni test był dawno — z większym, ponieważ nakład naprawczy jest nieznany, dopóki raport nie powstanie, a lista ustaleń cięższa niż oczekiwano to dokładnie ten scenariusz, pod który to okno jest zaprojektowane jako obciążenie. Ta jedna decyzja kalendarzowa powoduje więcej niepowodzeń NESA niż jakikolwiek problem techniczny.
Audytorzy sprawdzają, kto testował
Audytorzy NESA badają kwalifikacje dostawcy testów penetracyjnych, a deklarowanym oczekiwaniem jest OSCP lub równoważny. To nietypowo konkretne — większość standardów mówi „odpowiednio wykwalifikowany" i na tym poprzestaje — i ma bezpośrednią konsekwencję handlową: tańszy test wykonany przez kogoś bez uznanej certyfikacji ofensywnej może zostać odrzucony na audycie, co kosztuje Państwa honorarium, okno naprawcze i retest.
Pytanie, które należy zadać każdemu dostawcy przed zatrudnieniem, jest więc proste: kto wykona testy, jakie ma kwalifikacje i czy mogę to zweryfikować? Dla tego zlecenia odpowiedź brzmi OSCP+ — aktualna odnowiona forma certyfikacji — obok eCPPT, eWPT i eCIR, plus AZ-500, SC-200 i SC-300 po stronie bezpieczeństwa Microsoft. Wszystkie weryfikowalne niezależnie przez credential wallet OffSec, a ten link trafia do Państwa pakietu dowodowego obok raportu.
Zakres
Co obejmuje zlecenie zgodne z NESA:
- Sieć zewnętrzna — całe środowisko dostępne z internetu, w tym usługi opublikowane i zapomniane.
- Aplikacje webowe i API — uwierzytelnianie, autoryzacja, logika biznesowa, wstrzyknięcia oraz API stojące za aplikacjami mobilnymi.
- Sieć wewnętrzna — dokąd sięga przyczółek; czy segmentacja wytrzymuje.
- Active Directory — nadużycie szablonów certyfikatów ADCS, Kerberoasting, delegacja, ścieżki ACL do Domain Admin. Dla podmiotu rządowego ZEA lub przedsiębiorstwa użyteczności publicznej to właśnie tutaj niewielki przyczółek zewnętrzny zamienia się w pełne przejęcie.
- Chmura — eskalacja w Entra ID i Azure RBAC, odsłonięte magazyny, błędna konfiguracja tożsamości.
Szczególnie w przypadku krytycznej infrastruktury informacyjnej pytanie, które warto świadomie objąć zakresem, nie brzmi tylko, czy obwód wytrzymuje, ale jak daleko ktoś dojdzie, kiedy nie wytrzyma — a to mierzy ocena w modelu założonego naruszenia i tego właśnie zarząd albo regulator naprawdę chce się dowiedzieć.
NESA i Dubai ISR razem
Wiele organizacji niesie oba: NESA federalnie oraz Information Security Regulation od DESC, ponieważ są podmiotem rządu Dubaju albo mu dostarczają. Oba działają równolegle, a nie jeden zastępuje drugi, a ich techniczne wymagania testowe pokrywają się niemal w całości.
Przy świadomym objęciu zakresem obu od początku jedno zlecenie daje dowody dla obu — testowanie jest to samo, różni się mapowanie. Przy zakresie pod jeden i uzupełnianiu później zwykle kończy się na dwukrotnym testowaniu. Nic nie kosztuje powiedzieć przy ustalaniu zakresu, które reżimy Państwa dotyczą, a to najbardziej opłacalna rzecz, jaką mogą mi Państwo przekazać na pierwszej rozmowie.
Produkt końcowy
Streszczenie dla kierownictwa i audytora, część techniczna z krokami odtworzenia, dowodami i ocenami CVSS oraz mapowanie każdego ustalenia do właściwej kontroli, aby Państwa zespół ds. zgodności nie budował tego arkusza samodzielnie. Następnie wsparcie przy naprawie w trakcie poprawek, retest zamkniętych ustaleń — to wymóg NESA, a nie dosprzedaż — i pismo poświadczające, kto testował, w jakim zakresie i w jakich terminach.
Wszystko krytyczne jest zgłaszane w momencie znalezienia, a nie przetrzymywane do raportu. Jest przykładowy raport, jeśli chcą Państwo zobaczyć format przed podjęciem decyzji.
Kwestie praktyczne
Praca odbywa się zdalnie. Testy zewnętrzne, aplikacji webowych i chmury nie wymagają od Państwa niczego poza zakresem i autoryzacją; testy wewnętrzne i Active Directory prowadzone są przez VPN lub host pośredniczący wewnątrz Państwa środowiska. Tam, gdzie Państwa regulator albo własna polityka ogranicza miejsce przetwarzania lub przechowywania dowodów, trafia to na piśmie do zasad prowadzenia prac przed rozpoczęciem czegokolwiek.
Jestem w Ammanie, godzinę za Dubajem, pracuję w tym samym tygodniu roboczym co region, po arabsku lub angielsku. Brak biura w ZEA i brak takich twierdzeń — dostają Państwo osobę, która wykonuje testy, z kwalifikacjami możliwymi do zweryfikowania w mniej niż minutę.
Kolejne kroki
Proszę napisać, czy są Państwo objęci jako podmiot federalny, jako CII, czy przez umowę z którymś z nich; co wchodzi w zakres; i kiedy przypada audyt. W odpowiedzi wycena ryczałtowa i data startu. Biorąc pod uwagę okno retestu 90 dni, pierwszym użytecznym pytaniem jest, ile mają Państwo zapasu: jeśli mniej niż kwartał, zmienia to kolejność działań i powinniśmy porozmawiać raczej wcześniej niż później.
Powiązane: testy penetracyjne w ZEA o tym, jak łączą się reżimy, CBUAE, DFSA, ADGM i VARA dla usług finansowych oraz przegląd zgodności na wszystko pozostałe. Skontaktujcie się — język arabski mile widziany.
Pytania o NESA
Podmioty rządu federalnego oraz organizacje wyznaczone jako krytyczna infrastruktura informacyjna — co obejmuje energetykę, wodociągi, transport, telekomunikację, usługi finansowe i ochronę zdrowia. Podobnie jak przy saudyjskim ECC, zasięg praktyczny jest szerszy niż formalny, ponieważ objęte podmioty przekazują równoważne wymagania swoim dostawcom na podstawie umów. Jeśli urząd publiczny ZEA albo przedsiębiorstwo użyteczności publicznej poprosiło Państwa o dowody testu penetracyjnego, powodem zwykle jest NESA.
Oceny podatności i testy penetracyjne muszą być prowadzone i śledzone w ramach technicznego zarządzania podatnościami, co w praktyce oznacza co najmniej raz w roku dla objętych podmiotów. Słowo śledzone znaczy tyle samo co prowadzone: NESA szuka zarządzanego i udokumentowanego cyklu — zakres, test, naprawa, retest, zapis — a nie raportu, który pojawia się raz w roku i trafia do segregatora.
Ustalenia krytyczne i wysokie wymagają udokumentowanej naprawy z dowodem retestu w określonym terminie, typowo 90 dni. Praktyczna konsekwencja dotyczy harmonogramu: jeśli przeprowadzą Państwo test roczny w ostatnim miesiącu roku zgodności, nie zostanie margines na naprawę i retest w oknie przed zamknięciem cyklu. Testujcie z zapasem co najmniej kwartału. To najczęstszy błąd planistyczny w programach NESA i jest całkowicie możliwy do uniknięcia.
Tak — bardziej niż w większości standardów. Audytorzy NESA weryfikują kwalifikacje dostawcy testów penetracyjnych, a oczekiwaniem jest OSCP lub równoważny. Testy wykonane przez kogoś bez uznanej certyfikacji z bezpieczeństwa ofensywnego są kwestionowane, a czasem odrzucane na audycie, co oznacza, że najtańsza oferta może okazać się najdroższym rozstrzygnięciem. Poproście o certyfikację i link weryfikacyjny, zanim kogokolwiek zatrudnicie, i włóżcie oba do pakietu dowodowego.
Zazwyczaj tak. Oba reżimy działają równolegle — NESA federalnie, ISR od DESC dla podmiotów rządu Dubaju i ich dostawców — a zakres techniczny, którego wymagają, pokrywa się niemal całkowicie. Różni się mapowanie i raportowanie. Ustalcie zakres zlecenia od razu pod oba, a otrzymacie jeden test i dwa zestawy dowodów; ustalcie pod jeden, a dołożenie drugiego później zwykle oznacza ponowne testowanie.
Zbliża się audyt NESA?
Certyfikacja OSCP+, zakres pod IAS, z dowodami retestu, których wymaga okno 90 dni.