Тестирование на проникновение NCA ECC: контроль 2-11

Что контроль 2-11 говорит на самом деле

Essential Cybersecurity Controls помещают тестирование на проникновение в домен 2, Cybersecurity Defence, контроль 2-11. Его цель — оценить эффективность защитных возможностей организации через имитацию атаки, чтобы найти в технической инфраструктуре слабые места, способные привести к нарушению безопасности.

Контроль распадается на три обязанности, и организации регулярно выполняют третью, не выполняя первые две:

• Определить, задокументировать и утвердить требования кибербезопасности к тестированию на проникновение. Это самостоятельная документационная обязанность: нужен письменный утверждённый документ о том, как задаётся объём тестирования, с какой периодичностью оно проводится и кто его согласует.
• Внедрить эти требования. Тестирование действительно происходит, в том цикле, который вы задокументировали.
• Задать объём тестирования так, чтобы он покрывал как минимум сервисы, доступные из интернета, и техническую инфраструктуру за ними.

Практическое следствие: организация, ежегодно заказывающая отличный тест на проникновение, но никогда не записавшая и не утвердившая свои требования к тестированию, всё равно не соответствует 2-11. Аудитор читает политику и цепочку утверждений не менее внимательно, чем отчёт.

Ловушка шести месяцев: CSCC

Если какие-либо из ваших систем отнесены к критическим, Critical Systems Cybersecurity Controls применяются поверх ECC и повышают требование к тестированию этих систем до не реже одного раза в шесть месяцев.

Это самый частый провал бюджетирования и планирования в саудовских программах соответствия. Годовое допущение фиксируется в закупках, классификация проводится позже или другой командой, и расхождение всплывает на аудите, когда времени на второй тест уже не остаётся. Сначала проведите классификацию, затем стройте программу тестирования вокруг результата; а если часть систем критические, а часть нет, вы часто можете проводить меньшую полугодовую работу по критическому подмножеству и полную годовую по всему парку — это заметно дешевле, чем тестировать всю среду дважды в год.

Как задать объём, который пройдёт аудит

Минимальный объём контроля — сервисы, доступные из интернета, плюс техническая инфраструктура за ними. Это нижняя граница. Объём, построенный только по нижней границе, напрашивается на очевидный вопрос аудитора: если ваш анализ экспозиции заканчивается на периметре, откуда вы знаете, что закрепление на периметре никуда не ведёт?

Объём, который держится без споров:

• Внешняя сеть — весь парк, доступный из интернета, включая узлы и сервисы, опубликованные годы назад и забытые. Прямо требуется контролем.
• Веб-приложения и API — аутентификация, авторизация, бизнес-логика, инъекции. На практике — техническая инфраструктура за сервисом, доступным из интернета.
• Внутренняя сеть — куда дотягивается закрепление и выдерживает ли сегментация давление.
• Active Directory — злоупотребление шаблонами сертификатов ADCS, Kerberoasting, делегирование и пути через ACL до Domain Admin. В саудовском государственном или корпоративном парке именно здесь закрепление на периметре почти всегда превращается в полную компрометацию, и это та часть, которую оценка на основе сканера никогда не найдёт.
• Облако — там, куда переехали нагрузки, параллельно применяются Cloud Cybersecurity Controls, и тенант требует того же подхода: пути повышения привилегий в Entra ID и Azure RBAC, открытые хранилища, некорректная конфигурация идентификаторов.

Пакет доказательств

Четыре артефакта, и чаще всего отсутствует последний:

• Документ утверждённых требований к тестированию — это та часть 2-11, которая не является самим тестом.
• Документ об объёме, показывающий, что вошло и что не вошло и почему это было уместно.
• Отчёт: находки, оценки CVSS, шаги воспроизведения и явное сопоставление с контролем 2-11.
• Доказательства устранения и повторного тестирования — что исправлено, когда, подтверждено повторным тестом. Риски, которые вы решили принять, требуют зафиксированного решения и обоснования; принимать можно, молчать нельзя.

Аттестационное письмо с указанием, кто тестировал, в каком объёме и в какие даты, завершает пакет. Каждая работа здесь включает отчёт, повторное тестирование и аттестацию по умолчанию, а не как платные опции, потому что реальный результат — это пакет, готовый к аудиту; отчёт сам по себе им не является.

Почему важно, кто тестирует

ECC не предписывает сертификацию так, как это делает NESA в ОАЭ, но вопрос возникает на аудите и со стороны государственных заказчиков, транслирующих требование вниз: кто это выполнил и какие у него квалификации?

У меня OSCP+ — обновлённая форма сертификации OffSec, а также eCPPT, eWPT и eCIR, плюс AZ-500, SC-200 и SC-300 для части работ по Microsoft и Azure. Все они независимо проверяются через credential wallet OffSec, и этой ссылке место в вашем пакете доказательств рядом с отчётом.

Я работаю из Аммана в GMT+3 — рабочие часы совпадают с Эр-Риядом — на арабском или английском, удалённо. Внутреннее тестирование и работы по Active Directory выполняются через VPN или промежуточный узел внутри вашей среды, а любые ограничения на то, где обрабатываются и хранятся доказательства, письменно фиксируются в правилах проведения работ до начала тестирования.

Следующие шаги

Сообщите, применяется ли CSCC к каким-либо вашим системам, как выглядит среда и когда у вас аудит. Вы получите фиксированную стоимость и дату старта. Если хотите сначала увидеть результат, есть образец отчёта; а если хотите за несколько минут увидеть текущую внешнюю экспозицию, бесплатное сканирование периметра сделает это без каких-либо обязательств.

Подробнее: тестирование на проникновение в Саудовской Аравии объясняет, как сочетаются ECC, CSCC и SAMA, страница SAMA описывает требование для финансового сектора, а обзор соответствия сравнивает все стандарты. Свяжитесь со мной — арабский приветствуется.