Wymagania SAMA dotyczące testów penetracyjnych
Jeśli nadzoruje Państwa Bank Centralny Arabii Saudyjskiej, test penetracyjny jest corocznym powtarzalnym obowiązkiem, a nie projektem. Standard jest precyzyjny w dwóch kwestiach decydujących o tym, czy Państwa dowody przejdą weryfikację: testowanie musi być niezależne, a zakres musi sięgać systemów, których dotykają Państwa klienci.
Wymóg, powiedziany wprost
Od instytucji nadzorowanych przez Bank Centralny Arabii Saudyjskiej oczekuje się przeprowadzania niezależnych zewnętrznych testów penetracyjnych minimum raz w roku, w zakresie obejmującym systemy skierowane na zewnątrz, aplikacje webowe i infrastrukturę sieciową.
Trzy słowa w tym zdaniu niosą cały ciężar, a każde z nich to miejsce, w którym dowody najczęściej nie przechodzą weryfikacji:
- Niezależne — niewykonane przez zespół, który buduje lub utrzymuje testowane systemy.
- Rocznie, minimum — cykl roczny jest podłogą, a istotna zmiana w systemach dostępnych z internetu osobnym wyzwalaczem.
- Test penetracyjny — nie skan podatności z inną okładką. Audytorzy nauczyli się je odróżniać.
Gdzie dowody SAMA naprawdę się sypią
Cztery tryby awarii wyjaśniają większość tego, co jest kwestionowane, a wszystkim czterem taniej zapobiec niż je naprawiać.
Skan przedstawiony jako test penetracyjny
Sygnał jest strukturalny: każde ustalenie to CVE z opisem dostarczonym przez producenta, nic nie jest połączone w łańcuch i nie ma narracji wyjaśniającej, co atakujący mógłby osiągnąć. Test penetracyjny demonstruje wpływ: ta odsłonięta usługa oddaje poświadczenie, to poświadczenie sięga tego systemu wewnętrznego, w którym są te dane. Jeśli Państwa raport to posortowana lista wersji, to jest skan. Pełne rozróżnienie.
Niezależność, która się nie broni
Testy wykonane przez zespół inżynieryjny, przez dostawcę usług zarządzanych, który jednocześnie utrzymuje infrastrukturę, albo przez producenta oceniającego własny produkt. Każdy z tych przypadków nie spełnia wymogu niezależności, niezależnie od tego, jak kompetentne było samo testowanie.
Zakres pomijający warstwę klientowską
Backendy bankowości mobilnej, API partnerskie, nowa integracja fintechowa uruchomiona po podpisaniu zakresu. Systemy dostępne z internetu i aplikacje webowe są wyraźnie nazwane w standardzie, więc luka w tym miejscu to bezpośrednie uchybienie, a nie kwestia oceny.
Brak retestu
Raport z dwunastoma ustaleniami o wysokiej istotności i bez dowodu, że którekolwiek zamknięto, jest z perspektywy weryfikującego dokumentacją nierozwiązanego problemu. Cykl naprawy i retestu jest tym, co zamienia test w dowód zgodności.
Co obejmuje zlecenie
Podstawa regulacyjna, co roku:
- Testy sieci zewnętrznej — całe środowisko dostępne z internetu: bankowość internetowa, interfejsy płatnicze, VPN i dostęp zdalny, infrastruktura pocztowa oraz hosty opublikowane pod projekt i nigdy nie wycofane.
- Testy aplikacji webowych i API — uwierzytelnianie i obsługa sesji, autoryzacja i kontrola dostępu pomiędzy klientami, logika biznesowa w przepływach transakcyjnych, wstrzyknięcia oraz API stojące za aplikacjami mobilnymi. W instytucji finansowej ustalenia dotyczące logiki biznesowej są zwykle najważniejsze i to ich automatyzacja nigdy nie znajduje.
Zalecane obok tego i włączane przez większość instytucji w cykl roczny lub naprzemienny:
- Testy sieci wewnętrznej — dokąd faktycznie sięga przyczółek i czy wytrzymuje segmentacja pomiędzy środowiskiem korporacyjnym a płatniczym.
- Active Directory — nadużycie ADCS, Kerberoasting, delegacja i ścieżki ACL do Domain Admin. Tak właśnie skromny przyczółek zamienia się w przejęcie w skali całego banku i jest to niewidoczne dla testów zewnętrznych.
- Chmura — eskalacja w Entra ID i Azure RBAC, odsłonięte magazyny i błędna konfiguracja tożsamości tam, dokąd przeniosły się obciążenia.
- Założone naruszenie — start od przyczółka zamiast od obwodu, co odpowiada na pytanie, które zarząd faktycznie zadaje: jak daleko ktoś mógłby zajść?
Jeśli przetwarzają Państwo także dane kartowe, równolegle obowiązuje wymaganie 11.4 PCI DSS i w dużej mierze się pokrywa — objęte wspólnym zakresem to jedno zlecenie, a nie dwa.
Produkt końcowy
Raport zbudowany pod to, jak instytucje finansowe faktycznie z niego korzystają: streszczenie dla zarządu i regulatora do przeczytania bez tłumaczenia, część techniczna z krokami odtworzenia, dowodami i ocenami CVSS dla Państwa inżynierów oraz wyraźne mapowanie każdego ustalenia do kontroli standardu, której dotyczy, aby Państwa zespół ds. zgodności nie musiał budować tego mapowania samodzielnie.
Następnie elementy, które zamieniają raport w dowód: wsparcie przy naprawie w trakcie poprawek, retest zamkniętych ustaleń i pismo poświadczające, że test został wykonany, przez kogo, w jakim zakresie i w jakich terminach. Wszystko w cenie. Przykładowy raport pokazuje format.
Kto wykonuje
Mają Państwo kontakt bezpośrednio z testerem — bez opiekuna klienta, bez juniora uruchamiającego narzędzia pod nazwiskiem seniora na fakturze, bez trzech tygodni czekania między testem a raportem. Przy terminie regulacyjnym to właśnie ta bezpośredniość zwykle pozwala dotrzymać daty.
Kwalifikacje, bo w zakupach sektora finansowego pyta się o to zawsze: OSCP+, eCPPT, eWPT, eCIR, a także AZ-500, SC-200 i SC-300 dla części microsoftowej i azure'owej — wszystkie weryfikowalne przez credential wallet OffSec. Zanim przeszedłem na pełny etat do pracy ofensywnej, byłem inżynierem detekcji i analitykiem CTI — to przydatne zaplecze właśnie w tym sektorze: raport mówi nie tylko, jak działa ścieżka ataku, ale też jak wyglądałaby w Państwa SIEM i czy Państwa monitoring by ją wychwycił.
Pracuję zdalnie z Ammanu w GMT+3, te same godziny i ten sam tydzień roboczy co w Rijadzie, po arabsku lub angielsku.
Jak zacząć
Proszę podać typ licencji, co wchodzi w zakres i do kiedy test ma być zakończony. W odpowiedzi otrzymacie wycenę ryczałtową i datę startu. Jeśli zbliża się Państwa cykl roczny i chcecie najpierw zobaczyć bieżącą ekspozycję zewnętrzną, darmowy skan obwodu zajmuje kilka minut.
Powiązane: testy penetracyjne w Arabii Saudyjskiej o tym, jak SAMA współgra z NCA ECC, kontrola 2-11 ECC, jeśli niosą Państwo również obowiązek rządowy, oraz przegląd zgodności na wszystko pozostałe. Skontaktujcie się — język arabski mile widziany.
Pytania o SAMA
Organizacje członkowskie nadzorowane przez Bank Centralny Arabii Saudyjskiej: banki, zakłady ubezpieczeń i reasekuracji, firmy finansowe, biura informacji kredytowej oraz dostawców usług płatniczych, w tym fintechy działające na licencji SAMA lub w jej piaskownicy regulacyjnej. Jeśli Państwa licencja pochodzi od SAMA, standard Państwa obejmuje. Fintechy są tym często zaskoczone: obowiązek przychodzi wraz z licencją, na etapie, gdy program bezpieczeństwa często dopiero się kształtuje.
Niezależne zewnętrzne testy penetracyjne, minimum raz w roku. Słowo „minimum" wykonuje tu realną pracę: istotna zmiana w systemach dostępnych z internetu zasadniczo powinna wywołać test niezależnie od tego, w którym miejscu cyklu rocznego się Państwo znajdują, a instytucja, która uruchomiła nową platformę klientowską sześć miesięcy po teście rocznym i jej nie przetestowała, czeka trudna rozmowa. Test roczny traktujcie jako podłogę, a istotną zmianę jako osobny wyzwalacz.
Że testowania nie mogą wykonywać osoby, które budują lub utrzymują testowane systemy. Wewnętrzna funkcja bezpieczeństwa raportująca odrębnie od inżynierii jest bliżej celu, ale najczystszą i najpowszechniej akceptowaną odpowiedzią jest podmiot zewnętrzny bez żadnej roli w budowaniu czy utrzymaniu środowiska. To wymóg, który instytucje najczęściej naruszają, a odkrywają to na weryfikacji, a nie na etapie ustalania zakresu — czyli w kosztownej kolejności.
Wyraźnie nazwany zakres to systemy dostępne z internetu, aplikacje webowe i infrastruktura sieciowa. Większość instytucji idzie dalej i słusznie: test dowodzący, że atakujący może dotrzeć do obwodu, ale nigdy nie pytający, co dzieje się dalej, odpowiada na połowę pytania. Dobrze działający schemat to pełna ocena zewnętrzna i aplikacji webowych co roku jako podstawa regulacyjna, uzupełniona o testy sieci wewnętrznej i Active Directory co najmniej co drugi rok lub zawsze, gdy środowisko istotnie się zmienia.
Tak, i to typowy przypadek. Zwykle macie już Państwo mapowanie standardu, funkcję GRC i relację z audytem wewnętrznym; potrzebne są testy i dowody, które w to wejdą. Ustalam zakres pod kontrolę, którą muszą Państwo spełnić, mapuję ustalenia z powrotem do niej w raporcie i dostarczam retest oraz poświadczenie, które Państwa zespół ds. zgodności składa do dokumentacji. Nie jestem firmą doradczą GRC i nie będę próbował sprzedać Państwu programu wdrożenia standardu — testowanie to ta część, którą wykonuję ja.
Zbliża się coroczny test SAMA?
Niezależnie, w zakresie standardu, z retestem i poświadczeniem, które składa Państwa zespół ds. zgodności.