NCA ECC Sızma Testi: kontrol 2-11

Kontrol 2-11 gerçekte ne diyor

Essential Cybersecurity Controls sızma testlerini alan 2, Cybersecurity Defence içinde kontrol 2-11'e yerleştirir. Amacı, simüle edilmiş saldırı yoluyla kurumun savunma kabiliyetinin etkinliğini değerlendirmek ve teknik altyapıda ihlale yol açabilecek zayıflıkları bulmaktır.

Kontrol üç yükümlülüğe ayrılır ve kurumlar rutin olarak üçüncüsünü yerine getirirken ilk ikisini kaçırır:

• Sızma testine ilişkin siber güvenlik gerekliliklerini tanımlayın, belgeleyin ve onaylayın. Bu kendi başına bir belgeleme yükümlülüğüdür: testin kapsamının nasıl belirlendiğine, hangi sıklıkla yürütüldüğüne ve kimin onayladığına dair yazılı ve onaylı bir beyana ihtiyacınız var.
• Bu gereklilikleri uygulayın. Testler gerçekten, belgelediğiniz döngüde yapılır.
• Testin kapsamını, en azından internete açık servisleri ve arkalarındaki teknik altyapıyı içerecek şekilde belirleyin.

Pratik sonuç: her yıl mükemmel bir sızma testi yaptıran ancak test gerekliliklerini hiç yazıp onaylamamış bir kurum 2-11'e hâlâ uyumsuzdur. Denetçi rapor kadar politikayı ve onay izini de okur.

Altı ay tuzağı: CSCC

Sistemlerinizden herhangi biri kritik olarak sınıflandırılmışsa, Critical Systems Cybersecurity Controls ECC'nin üzerine uygulanır ve o sistemler için test gerekliliğini en az altı ayda bir seviyesine çıkarır.

Bu, Suudi uyum programlarındaki en yaygın bütçe ve planlama hatasıdır. Yıllık varsayım satın almada sabitlenir, sınıflandırma çalışması daha sonra veya başka bir ekipte yapılır ve uyumsuzluk ikinci bir test için zaman kalmadığında, değerlendirmede ortaya çıkar. Önce sınıflandırmayı yapın, sonra test programını bu cevabın etrafında kurgulayın; bazı sistemler kritik bazıları değilse, kritik alt küme için daha küçük altı aylık bir çalışma ve tüm envanter için tam kapsamlı yıllık bir çalışma yürütebilirsiniz ki bu, tüm ortamı yılda iki kez test etmekten belirgin biçimde ucuzdur.

Değerlendirmeyi geçecek bir kapsam kurmak

Kontrolün asgari kapsamı internete açık servisler artı arkalarındaki teknik altyapıdır. Bu bir tabandır. Yalnızca tabana göre kurulmuş bir kapsam, denetçiden bariz bir soruyu davet eder: maruziyet analiziniz çevre sınırında bitiyorsa, çevredeki bir dayanak noktasının hiçbir yere gitmediğini nereden biliyorsunuz?

Tartışmasız ayakta kalan kapsam:

• Dış ağ — yıllar önce yayımlanıp unutulmuş sunucular ve servisler dahil internete açık tüm envanter. Kontrol tarafından açıkça zorunlu kılınmıştır.
• Web uygulamaları ve API'ler — kimlik doğrulama, yetkilendirme, iş mantığı, enjeksiyon. Uygulamada, internete açık servisin arkasındaki teknik altyapı.
• İç ağ — bir dayanak noktasının nereye ulaştığı ve segmentasyonun baskı altında dayanıp dayanmadığı.
• Active Directory — ADCS sertifika şablonu istismarı, Kerberoasting, yetki devri ve Domain Admin'e giden ACL yolları. Bir Suudi kamu veya kurumsal envanterinde çevredeki bir dayanak noktasının tam ele geçirmeye dönüştüğü yer neredeyse her zaman burasıdır ve tarayıcı tabanlı bir değerlendirmenin asla bulamayacağı kısımdır.
• Bulut — iş yüklerinin taşındığı yerde Cloud Cybersecurity Controls paralel olarak uygulanır ve kiracılık aynı muameleyi gerektirir: Entra ID ve Azure RBAC yetki yükseltme yolları, açıkta kalan depolama, hatalı kimlik yapılandırması.

Kanıt paketi

Dört bileşen ve en sık eksik olan sonuncusudur:

• Onaylanmış test gereklilikleri belgesi — 2-11'in test olmayan kısmı budur.
• Neyin kapsam içinde ve dışında olduğunu ve bunun neden uygun olduğunu gösteren bir kapsam belgesi.
• Rapor: bulgular, CVSS derecelendirmeleri, yeniden üretim adımları ve kontrol 2-11'e açık eşleme.
• Giderme ve yeniden test kanıtı — neyin, ne zaman düzeltildiği ve yeniden testle doğrulandığı. Kabul etmeyi seçtiğiniz riskler kayıtlı bir karar ve gerekçe ister; kabul etmek serbesttir, sessiz kalmak değil.

Kimin, hangi kapsama karşı ve hangi tarihlerde test ettiğini belirten bir beyan mektubu paketi tamamlar. Buradaki her çalışma raporu, yeniden testi ve beyanı ücretli ek değil standart olarak içerir, çünkü gerçek teslimat değerlendirmeye hazır bir pakettir — rapor tek başına bu değildir.

Testi kimin yaptığı neden önemli

ECC, NESA'nın BAE'de yaptığı gibi bir sertifikasyon şart koşmaz, ancak soru değerlendirmede ve gerekliliği aşağı aktaran kamu müşterilerinden gelir: bunu kim yaptı ve hangi belgelere sahip?

OffSec sertifikasyonunun yenilenmiş biçimi olan OSCP+ ile birlikte eCPPT, eWPT ve eCIR'ye, işin Microsoft ve Azure kısmı için de AZ-500, SC-200 ve SC-300'e sahibim. Hepsi OffSec credential wallet üzerinden bağımsız olarak doğrulanabilir ve bu bağlantı raporun yanında kanıt paketinizde yer almalıdır.

Amman'dan GMT+3 saat diliminde — Riyad ile aynı çalışma saatlerinde — Arapça veya İngilizce, uzaktan çalışıyorum. İç ağ ve Active Directory testleri ortamınızdaki bir VPN veya atlama sunucusu üzerinden yürütülür ve kanıtların nerede işleneceğine veya saklanacağına dair her kısıt, testler başlamadan önce yazılı olarak katılım kurallarına girer.

Sonraki adımlar

CSCC'nin sistemlerinizden herhangi birine uygulanıp uygulanmadığını, ortamın nasıl göründüğünü ve değerlendirmenizin ne zaman olduğunu bana iletin. Sabit fiyatlı teklif ve başlangıç tarihi alırsınız. Önce teslimatı görmek isterseniz bir örnek rapor var; mevcut dış maruziyetinizi birkaç dakikada görmek isterseniz ücretsiz çevre taraması bunu hiçbir taahhüt olmadan yapar.

Daha fazla bağlam: Suudi Arabistan'da sızma testi ECC, CSCC ve SAMA'nın nasıl birleştiğini anlatır, SAMA sayfası finans sektörü gerekliliğini kapsar ve uyum genel bakışı tüm çerçeveleri karşılaştırır. İletişime geçin — Arapça memnuniyetle.