Testy penetracyjne w Arabii Saudyjskiej
Większość testów penetracyjnych w Królestwie kupuje się dlatego, że wymaga ich regulator. Essential Cybersecurity Controls od NCA, kontrole dla systemów krytycznych oraz ramy SAMA narzucają każde swój harmonogram — i każde oczekuje dowodów, które audytor będzie w stanie przeczytać. Oto, co obejmuje ta praca i jak ją realizuję.
Czego saudyjscy regulatorzy wymagają naprawdę
Trzy odrębne reżimy nakazują testy penetracyjne w Królestwie, a to, który Was dotyczy, wyznacza zakres, częstotliwość i dowody, które trzeba zachować.
NCA Essential Cybersecurity Controls (ECC)
ECC od National Cybersecurity Authority to krajowa podstawa, wiążąca podmioty publiczne, ich wykonawców oraz operatorów krytycznej infrastruktury krajowej. Kontrola 2-11 obejmuje testy penetracyjne (strona po angielsku): wymagania muszą być zdefiniowane, udokumentowane i zatwierdzone, muszą być wdrożone, a zakres musi obejmować usługi wystawione do internetu i infrastrukturę techniczną za nimi. Testowanie jest okresowe, a dowodem, którego szuka audytor, jest pełny cykl — dokument zakresu, raport, naprawa, ponowny test — a nie sam PDF z datą.
Critical Systems Cybersecurity Controls (CSCC)
Jeśli któryś z Waszych systemów zaklasyfikowano jako krytyczny, CSCC podnoszą poprzeczkę: takie systemy trzeba testować co najmniej raz na sześć miesięcy, a nie raz w roku. Zaskakuje to wiele organizacji, bo budżet i cykl zakupowy zwykle budowane są wokół jednego testu rocznie. Klasyfikujcie wcześnie, bo rytm półroczny całkowicie zmienia komercyjny kształt zlecenia.
SAMA Cyber Security Framework
Od instytucji finansowych nadzorowanych przez saudyjski bank centralny — banków, ubezpieczycieli, firm finansowych, dostawców płatności — oczekuje się niezależnych zewnętrznych testów penetracyjnych co najmniej raz w roku (strona po angielsku), obejmujących systemy wystawione do internetu, aplikacje webowe i infrastrukturę sieciową. Niezależność jest wymogiem działającym: test wykonany przez zespół, który buduje lub eksploatuje system, go nie spełnia, podobnie jak skan podatności podany jako test penetracyjny.
I to, co biegnie równolegle
Ustawa o ochronie danych osobowych SDAIA przynosi własne obowiązki bezpieczeństwa tam, gdzie przetwarzane są dane osobowe; Cloud Cybersecurity Controls obowiązują tam, gdzie obciążenia leżą u dostawcy chmury; a duże przedsiębiorstwa coraz częściej narzucają własne standardy dostawcom — wymagania Aramco wobec podmiotów trzecich to przykład, z którym saudyjscy dostawcy stykają się najpierw. Jeśli przyjmujecie płatności kartą, ponad tym wszystkim obowiązuje wymóg 11.4 PCI DSS; omawia go strona o PCI DSS.
Co test obejmuje naprawdę
Zakres, który w praktyce spełnia kontrolę 2-11 i SAMA, w zwykłej kolejności:
- Testy sieci zewnętrznej — wszystko, co organizacja wystawia do internetu: koncentratory VPN, poczta, zdalny dostęp, zapomniane serwery testowe i usługi, których publikacji nikt już nie pamięta. Wprost w zakresie 2-11 i to tam zaczyna się większość rzeczywistych włamań.
- Testy webowe i API — uwierzytelnianie, autoryzacja, logika biznesowa i wstrzyknięcia wobec aplikacji klienckich i API za nimi. Wymienione w zakresie SAMA.
- Testy sieci wewnętrznej — dokąd dosięgnie ktoś, kto już ma przyczółek: segmentacja, która nie trzyma, płaskie sieci, poświadczenia tam, gdzie leżeć nie powinny.
- Active Directory — nadużycia szablonów certyfikatów ADCS, Kerberoasting, problemy delegacji i ścieżki ACL do Domain Admin. Niemal każda duża saudyjska organizacja działa na AD i to tam zewnętrzny przyczółek zmienia się w pełne przejęcie.
- Chmura — ścieżki eskalacji w Entra ID i Azure RBAC, odsłonięte magazyny i błędy konfiguracji tożsamości, które z dzierżawy chmurowej robią skrót zamiast bariery.
Co otrzymujecie
Raport pisany jednocześnie dla dwóch odbiorców: streszczenie, za którym zarząd albo regulator nadąży bez tłumacza, oraz część techniczną z krokami odtworzenia, dowodami i ocenami CVSS, na której Wasi inżynierowie pracują wprost. Każde ustalenie jest powiązane z kontrolą, która wymusiła test, by audytor mógł przejść od obowiązku do dowodu bez budowania tego mapowania przez Was.
Wsparcie przy naprawie jest wliczone, a nie sprzedawane osobno — pytania w trakcie poprawek dostają odpowiedzi — podobnie jak ponowny test zamkniętych ustaleń i list atestacyjny stwierdzający, że test wykonano, przez kogo, w jakim zakresie i w jakich datach. Z mojego doświadczenia to atestacja trafia do audytora albo do korporacyjnego klienta proszącego o dowód. Jest przykładowy raport, jeśli chcecie zobaczyć format przed decyzją (po angielsku).
Dlaczego warto pracować z niezależnym konsultantem
Rozmawiacie z osobą, która testuje. Żadnego opiekuna klienta przekazującego pytania, żadnego juniora uruchamiającego skaner pod nazwiskiem seniora na fakturze i żadnej trzytygodniowej luki między końcem testu a raportem. Przy terminie ECC lub SAMA ta bezpośredniość zwykle decyduje, czy termin zostanie dotrzymany, czy trzeba będzie tłumaczyć, dlaczego nie.
Praktyczne dopasowanie do Zatoki warto powiedzieć wprost: pracuję z Ammanu w GMT+3 — te same godziny i ten sam tydzień pracy co Rijad, Dżudda i Dammam — więc pytanie zadane w trakcie testu dostaje odpowiedź tego samego dnia. Działa i arabski, i angielski. Mam OSCP+ oraz eCPPT, eWPT, eCIR, AZ-500, SC-200 i SC-300, wszystkie niezależnie weryfikowalne w portfelu certyfikatów OffSec — co tutaj ma znaczenie, bo audytorzy coraz częściej pytają, kto wykonał test i co posiada.
Czego nie zrobię: nie będę udawał lokalnej firmy. Nie mam biura w Rijadzie i nie będę tego twierdził. Czym jestem: specjalistą, którego angażujecie bezpośrednio, w Waszej strefie czasowej i Waszym języku, z kwalifikacjami do zweryfikowania w trzydzieści sekund.
Jak zacząć
Podajcie kontrolę do spełnienia — 2-11, półroczny cykl CSCC, roczny test SAMA — a także zakres i termin. Dostaniecie wycenę ze stałą ceną i datę startu, a nie proces odkrywania. Jeśli wolicie najpierw coś konkretnego, bezpłatny skan perymetru pokaże, co dziś odsłania Wasza powierzchnia zewnętrzna, a przegląd zgodności porówna pozostałe normy.
Jeśli nie wiecie, który reżim obowiązuje, to normalne pytanie i krótka rozmowa je rozstrzyga. Napiszcie — zapytania po arabsku są mile widziane.
Arabia Saudyjska: częste pytania
Tak. Kontrola 2-11 Essential Cybersecurity Controls dotyczy wprost testów penetracyjnych i ma trzy części: wymagania muszą być zdefiniowane i udokumentowane, zatwierdzone oraz wdrożone. Zakres musi obejmować co najmniej usługi wystawione do internetu i infrastrukturę techniczną za nimi. Testowanie jest wymagane okresowo. Jeśli podlegacie także Critical Systems Cybersecurity Controls, systemy krytyczne należy testować co najmniej raz na sześć miesięcy zamiast raz w roku.
Od instytucji nadzorowanych przez saudyjski bank centralny oczekuje się przeprowadzania niezależnych zewnętrznych testów penetracyjnych co najmniej raz w roku, obejmujących systemy wystawione do internetu, aplikacje webowe i infrastrukturę sieciową. Najcięższe słowo to tam niezależnych: test wykonany przez zespół, który zbudował lub eksploatuje system, tego nie spełnia. Dla banków, ubezpieczycieli, firm finansowych i dostawców płatności to obowiązek powtarzalny co roku, a nie jednorazowy.
Przy testach zewnętrznych, aplikacji webowych, chmury i większości testów wewnętrznych nie — praca jest zdalna, tak dostarczana jest zdecydowana większość ocen w regionie. Testy sieci wewnętrznej i Active Directory prowadzone są przez VPN albo niewielki host przesiadkowy pod Waszą kontrolą, a w razie potrzeby pracuję z maszyny wewnątrz Waszego środowiska. Jeśli macie wymóg co do miejsca przechowywania lub przetwarzania dowodów, powiedzcie o tym przy ustalaniu zakresu — trafi to na piśmie do zasad prowadzenia prac.
Właśnie po to jest pisany. Każdy raport zawiera streszczenie dla zarządu, część techniczną z krokami odtworzenia i ocenami CVSS, mapowanie na kontrolę, która wymusiła test, oraz sekcję naprawczą napisaną tak, by Wasi inżynierowie mogli działać bez dodatkowej rozmowy. W zakres wchodzi ponowny test naprawionych ustaleń oraz list atestacyjny potwierdzający, że test wykonano, przez kogo i w jakim zakresie — i to zwykle atestacja jest dokumentem, który audytor albo klient faktycznie archiwizuje.
Domyślnie po angielsku, bo w tym języku pracują regulatorzy i większość saudyjskich działów zakupów. Arabski jest dostępny na życzenie, a bieżąca komunikacja w trakcie prac może odbywać się w całości po arabsku. Pracuję z Ammanu w GMT+3, w tym samym tygodniu roboczym i tych samych godzinach co Rijad — pytania w trakcie testu dostają odpowiedź tego samego dnia, a nie nazajutrz.
Macie termin wobec NCA lub SAMA?
Podajcie kontrolę do spełnienia i zakres, a dostaniecie stałą cenę i datę.