Тестирование на проникновение в Саудовской Аравии
Большинство тестов на проникновение в Королевстве заказывают потому, что этого требует регулятор. Essential Cybersecurity Controls от NCA, контроли для критичных систем и стандарт SAMA задают каждый свой график — и каждый ожидает доказательств, которые сможет прочитать аудитор. Вот что входит в эту работу и как я её выполняю.
Что саудовские регуляторы требуют на самом деле
Три отдельных режима предписывают тестирование на проникновение в Королевстве, и то, какой из них касается вас, определяет объём, периодичность и доказательства, которые нужно хранить.
NCA Essential Cybersecurity Controls (ECC)
ECC от National Cybersecurity Authority это национальная база, обязывающая госорганы, их подрядчиков и операторов критической национальной инфраструктуры. Контроль 2-11 охватывает тестирование на проникновение (страница на английском): требования должны быть определены, задокументированы и утверждены, должны быть внедрены, а объём должен покрывать доступные из интернета сервисы и техническую инфраструктуру за ними. Тестирование периодическое, и доказательство, которое ищет аудитор, это полный цикл — документ об объёме, отчёт, устранение, повторный тест, — а не PDF с датой.
Critical Systems Cybersecurity Controls (CSCC)
Если какая-либо из ваших систем классифицирована как критичная, CSCC поднимают планку: такие системы нужно тестировать не реже раза в шесть месяцев, а не ежегодно. Это застаёт врасплох многие организации, потому что бюджет и закупочный цикл обычно строятся вокруг одного теста в год. Классифицируйте заранее, поскольку полугодовой ритм полностью меняет коммерческую форму работы.
SAMA Cyber Security Framework
От финансовых организаций под надзором Центрального банка Саудовской Аравии — банков, страховщиков, финансовых компаний, платёжных провайдеров — ожидается проведение независимых внешних тестов на проникновение не реже раза в год (страница на английском), с охватом доступных из интернета систем, веб-приложений и сетевой инфраструктуры. Независимость это действующее требование: тест силами команды, которая строит или эксплуатирует систему, ему не отвечает, равно как и сканирование уязвимостей, поданное как тест на проникновение.
И то, что действует параллельно
Закон о защите персональных данных SDAIA приносит собственные обязанности по безопасности там, где обрабатываются персональные данные; Cloud Cybersecurity Controls применяются там, где нагрузки размещены у облачного провайдера; а крупные корпорации всё чаще навязывают собственные стандарты поставщикам — требования Aramco к третьим сторонам это пример, с которым саудовские поставщики сталкиваются первым. Если вы принимаете карточные платежи, поверх всего этого действует требование 11.4 PCI DSS; об этом — на странице PCI DSS.
Что на самом деле покрывает тест
Объём, который на практике удовлетворяет контролю 2-11 и SAMA, в обычном порядке:
- Внешнее сетевое тестирование — всё, что ваша организация выставляет в интернет: VPN-концентраторы, почта, удалённый доступ, забытые тестовые серверы и сервисы, о публикации которых никто уже не помнит. Прямо входит в объём 2-11, и именно отсюда начинается большинство реальных вторжений.
- Тестирование веб-приложений и API — аутентификация, авторизация, бизнес-логика и инъекции в клиентских приложениях и API за ними. Прямо упомянуто в объёме SAMA.
- Внутреннее сетевое тестирование — куда дотянется тот, кто уже закрепился внутри: сегментация, которая не держит, плоские сети, учётные данные там, где их быть не должно.
- Active Directory — злоупотребление шаблонами сертификатов ADCS, Kerberoasting, проблемы делегирования и пути ACL до Domain Admin. Почти каждая крупная саудовская организация работает на AD, и именно здесь внешняя точка опоры превращается в полную компрометацию.
- Облако — пути повышения привилегий в Entra ID и Azure RBAC, открытое хранилище и ошибки конфигурации identity, превращающие облачный тенант в короткий путь, а не в барьер.
Что вы получаете
Отчёт, написанный сразу для двух аудиторий: резюме, которое совет директоров или регулятор прочитает без переводчика, и техническая часть с шагами воспроизведения, доказательствами и оценками CVSS, с которой ваши инженеры работают напрямую. Каждая находка сопоставлена с контролем, потребовавшим теста, чтобы аудитор мог пройти от обязанности к доказательству, а вам не пришлось строить это сопоставление самим.
Поддержка при устранении входит в работу, а не продаётся отдельно — вопросы во время исправлений получают ответы, — как и повторный тест закрытых находок и письмо-аттестация с указанием, что тест выполнен, кем, в каком объёме и в какие даты. По моему опыту именно аттестация попадает к аудитору или уходит корпоративному клиенту, запросившему подтверждение. Есть пример отчёта, если хотите увидеть формат до начала работ (на английском).
Почему работать с независимым консультантом
Вы говорите с тем, кто тестирует. Нет аккаунт-менеджера, пересказывающего вопросы, нет джуниора, запускающего сканер под именем сеньора в счёте, и нет трёх недель между окончанием теста и отчётом. При сроке по ECC или SAMA эта прямота обычно и есть разница между соблюдённой датой и объяснением, почему она сорвана.
Практическое соответствие Заливу стоит сказать прямо: я работаю из Аммана в GMT+3 — те же рабочие часы и та же неделя, что в Эр-Рияде, Джидде и Даммаме, — поэтому вопрос, возникший в ходе теста, получает ответ в тот же день. Подходят и арабский, и английский. У меня есть OSCP+, а также eCPPT, eWPT, eCIR, AZ-500, SC-200 и SC-300 — все независимо проверяемы в кошельке сертификатов OffSec. Это здесь важно, потому что аудиторы всё чаще спрашивают, кто выполнял тест и что у него есть.
Чего я делать не стану — изображать местную компанию. У меня нет офиса в Эр-Рияде, и я не буду этого утверждать. Что я есть: специалист, которого вы нанимаете напрямую, в вашем часовом поясе и на вашем языке, с квалификацией, проверяемой за тридцать секунд.
С чего начать
Назовите контроль, который нужно закрыть — 2-11, полугодовой цикл CSCC, ежегодный тест SAMA, — а также объём и ваш срок. В ответ вы получите фиксированную цену и дату старта, а не процесс обследования. Если хотите сначала увидеть что-то конкретное, бесплатное сканирование периметра покажет, что сейчас открывает ваша внешняя поверхность, а обзор по комплаенсу сравнит остальные стандарты.
Если не уверены, какой режим применяется, это нормальный вопрос, и короткий разговор его закрывает. Свяжитесь со мной — обращения на арабском приветствуются.
Саудовская Аравия: частые вопросы
Да. Контроль 2-11 Essential Cybersecurity Controls посвящён именно тестированию на проникновение и состоит из трёх частей: требования должны быть определены и задокументированы, утверждены и внедрены. Объём должен покрывать как минимум доступные из интернета сервисы и техническую инфраструктуру за ними. Тестирование требуется периодически. Если вы также подпадаете под Critical Systems Cybersecurity Controls, критичные системы нужно тестировать не реже раза в шесть месяцев, а не ежегодно.
От организаций под надзором Центрального банка Саудовской Аравии ожидается проведение независимых внешних тестов на проникновение не реже раза в год, с охватом доступных из интернета систем, веб-приложений и сетевой инфраструктуры. Самое весомое слово там — независимых: тест, выполненный командой, которая построила или эксплуатирует систему, этому не отвечает. Для банков, страховщиков, финансовых компаний и платёжных провайдеров это ежегодно повторяющаяся обязанность, а не разовое мероприятие.
Для внешнего тестирования, веб-приложений, облака и большей части внутренних работ — нет: работа выполняется удалённо, именно так поставляется подавляющее большинство оценок в регионе. Тестирование внутренней сети и Active Directory идёт через VPN или небольшой промежуточный узел под вашим контролем, и при необходимости я работаю с машины внутри вашей среды. Если у вас есть требование к размещению данных, ограничивающее, где хранятся или обрабатываются доказательства, скажите об этом при согласовании объёма — это письменно войдёт в правила проведения работ.
Он для этого и написан. Каждый отчёт содержит резюме для руководства, техническую часть с шагами воспроизведения и оценками CVSS, сопоставление с контролем, потребовавшим теста, и раздел по устранению, написанный так, чтобы ваши инженеры могли действовать без дополнительного созвона. Повторный тест исправленных находок и письмо-аттестация, подтверждающее, что тест выполнен, кем и в каком объёме, входят в работу — и именно аттестацию аудитор или клиент обычно подшивает.
По умолчанию на английском — на нём работают регуляторы и большинство саудовских закупочных подразделений. Арабский доступен по запросу, а повседневное общение в ходе работ может вестись полностью на арабском. Я работаю из Аммана в GMT+3, с той же рабочей неделей и теми же часами, что и Эр-Рияд: вопросы во время тестирования получают ответ в тот же день, а не на следующий.
Есть срок по NCA или SAMA?
Назовите контроль, который нужно закрыть, и объём — получите фиксированную цену и дату.