Требования NESA к тестированию на проникновение

Что требует стандарт

В рамках технического управления уязвимостями Information Assurance Standards ОАЭ требуют, чтобы оценки уязвимостей и тесты на проникновение проводились и отслеживались. Для охваченных организаций на практике это выливается в ежегодное тестирование, но обязанность является циклом, а не событием, и оцениваются три части:

• Тест — выполненный независимо, в объёме, соответствующем организации.
• Устранение — критические и высокие находки задокументированы и исправлены, а решения зафиксированы там, где риск вместо этого принимается.
• Повторный тест — доказательство, что исправления сработали, внутри установленного окна, как правило 90 дней.

Организации, не проходящие NESA по тестированию на проникновение, почти всегда выполнили первую часть и не выполнили две другие.

Два требования, меняющие подход к закупке

Отсчёт 90 дней означает, что тестировать поздно нельзя

Если критические и высокие находки должны быть устранены и повторно протестированы в течение 90 дней, календарное следствие неизбежно: тест, проведённый в последний месяц года соответствия, не оставляет запаса, чтобы что-то исправить и это доказать. К моменту выхода отчёта у вас останутся недели, а не квартал.

Тестируйте минимум за квартал. Если среда большая или последний тест был давно — с большим запасом, потому что объём работ по устранению неизвестен, пока нет отчёта, а список находок тяжелее ожидаемого — ровно тот сценарий, на который это окно и рассчитано как на нагрузку. Одно это календарное решение вызывает больше провалов NESA, чем любая техническая проблема.

Аудиторы проверяют, кто тестировал

Аудиторы NESA изучают квалификации поставщика услуг тестирования на проникновение, и заявленным ожиданием является OSCP или эквивалент. Это необычно конкретно — большинство стандартов говорит «надлежащим образом квалифицированный» и на этом останавливается — и имеет прямое коммерческое следствие: более дешёвый тест, выполненный кем-то без признанной наступательной сертификации, может быть отклонён на аудите, что стоит вам гонорара, окна устранения и повторного теста.

Поэтому вопрос, который стоит задать любому поставщику до найма, прост: кто будет выполнять тестирование, какие у него квалификации и могу ли я это проверить? Для этой работы ответ — OSCP+, действующая обновлённая форма сертификации, наряду с eCPPT, eWPT и eCIR, плюс AZ-500, SC-200 и SC-300 со стороны безопасности Microsoft. Все независимо проверяются через credential wallet OffSec, и эта ссылка идёт в ваш пакет доказательств рядом с отчётом.

Объём

Что покрывает работа, выстроенная под NESA:

• Внешняя сеть — весь парк, доступный из интернета, включая опубликованные и забытые сервисы.
• Веб-приложения и API — аутентификация, авторизация, бизнес-логика, инъекции и API за мобильными приложениями.
• Внутренняя сеть — куда дотягивается закрепление; выдерживает ли сегментация.
• Active Directory — злоупотребление шаблонами сертификатов ADCS, Kerberoasting, делегирование, пути через ACL до Domain Admin. Для государственной структуры или коммунальной компании ОАЭ именно здесь небольшое внешнее закрепление превращается в полную компрометацию.
• Облако — повышение привилегий в Entra ID и Azure RBAC, открытые хранилища, некорректная конфигурация идентификаторов.

Именно для критической информационной инфраструктуры вопрос, который стоит осознанно включить в объём, — не только выдерживает ли периметр, но и как далеко проходит злоумышленник, когда он не выдерживает: это измеряет оценка по модели предполагаемой компрометации, и именно это совет директоров или регулятор действительно хочет знать.

NESA и Dubai ISR вместе

Многие организации несут оба: NESA на федеральном уровне и Information Security Regulation от DESC, поскольку они являются структурой правительства Дубая или поставляют ей. Эти два режима действуют параллельно, а не вытесняют друг друга, и их технические требования к тестированию пересекаются почти полностью.

При осознанном определении объёма сразу под оба одна работа даёт доказательства для обоих — тестирование одно и то же, различается сопоставление. При объёме под один и доработке позже вы, как правило, тестируете дважды. Ничего не стоит сказать на этапе определения объёма, какие режимы к вам применяются, и это самое выгодное, что вы можете сообщить мне на первом звонке.

Результат

Резюме для руководства и аудитора, техническая часть с шагами воспроизведения, доказательствами и оценками CVSS, и сопоставление каждой находки с применимым контролем, чтобы ваша команда по соответствию не строила эту таблицу сама. Затем сопровождение устранения, пока вы исправляете, повторное тестирование закрытых находок — это требование NESA, а не допродажа — и аттестационное письмо, фиксирующее, кто тестировал, в каком объёме и в какие даты.

Всё критическое сообщается в момент обнаружения, а не придерживается до отчёта. Есть образец отчёта, если хотите увидеть формат до принятия решения.

Практические вопросы

Работа выполняется удалённо. Внешнее, веб-прикладное и облачное тестирование не требует от вас ничего, кроме объёма и авторизации; внутреннее тестирование и работы по Active Directory выполняются через VPN или промежуточный узел внутри вашей среды. Там, где ваш регулятор или ваша собственная политика ограничивает, где обрабатываются и хранятся доказательства, это письменно входит в правила проведения работ до начала чего-либо.

Я в Аммане, на час позади Дубая, с той же рабочей неделей, что и регион, на арабском или английском. Офиса в ОАЭ нет и я на него не претендую — вы получаете человека, который выполняет тестирование, с квалификациями, которые можно проверить меньше чем за минуту.

Следующие шаги

Сообщите, охвачены ли вы как федеральная структура, как CII или через договор с одной из них; что входит в объём; и когда у вас аудит. В ответ — фиксированная стоимость и дата старта. Учитывая окно повторного теста в 90 дней, первый полезный вопрос — сколько у вас запаса: если меньше квартала, это меняет последовательность и говорить стоит скорее раньше, чем позже.

Смежное: тестирование на проникновение в ОАЭ о том, как сочетаются режимы, CBUAE, DFSA, ADGM и VARA для финансовых услуг и обзор соответствия для всего остального. Свяжитесь со мной — арабский приветствуется.