NESA Sızma Testi Gereklilikleri

Standart ne gerektiriyor

Teknik zafiyet yönetimi kapsamında BAE Information Assurance Standards, zafiyet değerlendirmelerinin ve sızma testlerinin yürütülmesini ve izlenmesini zorunlu kılar. Kapsanan kurumlar için bu pratikte yıllık teste denk gelir — ancak yükümlülük bir olay değil bir döngüdür ve değerlendirilen üç parça şunlardır:

• Test — bağımsız olarak ve kuruma uygun bir kapsama karşı yürütülmüş.
• Giderme — kritik ve yüksek bulgular belgelenmiş ve düzeltilmiş, bunun yerine risk kabul edilen yerlerde kararlar kayda geçirilmiş.
• Yeniden test — düzeltmelerin işe yaradığına dair kanıt, tanımlı bir pencere içinde, tipik olarak 90 gün.

NESA'da sızma testinden kalan kurumlar neredeyse her zaman ilk parçayı yapmış, diğer ikisini yapmamıştır.

Satın alma biçimini değiştiren iki gereklilik

90 günlük saat geç test etmeyi imkânsız kılar

Kritik ve yüksek bulguların 90 gün içinde giderilip yeniden test edilmesi gerekiyorsa, takvim sonucu kaçınılmazdır: uyum yılınızın son ayında yürütülen bir test, hiçbir şeyi düzeltip bunu kanıtlamaya alan bırakmaz. Rapor elinize geçtiğinde bir çeyreğiniz değil, birkaç haftanız kalır.

En az bir çeyrek pay bırakarak test edin. Ortam büyükse veya son testin üzerinden uzun zaman geçtiyse daha fazlası gerekir — çünkü giderme eforu rapor var olana kadar bilinmezdir ve beklenenden ağır bir bulgu listesi, pencerenin zorlamak üzere tasarlandığı senaryonun ta kendisidir. Bu tek takvim kararı, herhangi bir teknik sorundan daha fazla NESA başarısızlığına yol açar.

Denetçiler kimin test ettiğini inceler

NESA denetçileri sızma testi sağlayıcısının sertifikalarını inceler ve beyan edilen beklenti OSCP veya eşdeğeridir. Bu alışılmadık biçimde somuttur — çoğu çerçeve «uygun niteliklere sahip» der ve orada bırakır — ve doğrudan ticari bir sonucu vardır: tanınmış bir saldırgan sertifikası olmayan birinin yaptığı daha ucuz bir test değerlendirmede reddedilebilir; bu da size ücreti, giderme penceresini ve yeniden testi kaybettirir.

Dolayısıyla herhangi bir sağlayıcıyla çalışmaya başlamadan önce sorulacak soru basittir: testi kim yapacak, hangi belgelere sahip ve bunu doğrulayabilir miyim? Bu çalışma için yanıt, sertifikanın güncel yenilenmiş biçimi olan OSCP+ ile birlikte eCPPT, eWPT ve eCIR, ayrıca Microsoft güvenlik tarafında AZ-500, SC-200 ve SC-300'dür. Hepsi OffSec credential wallet üzerinden bağımsız olarak doğrulanabilir ve bu bağlantı raporun yanında kanıt paketinize girer.

Kapsam

NESA ile uyumlu bir çalışmanın kapsadıkları:

• Dış ağ — yayımlanıp unutulmuş servisler dahil internete açık tüm envanter.
• Web uygulamaları ve API'ler — kimlik doğrulama, yetkilendirme, iş mantığı, enjeksiyon ve mobil uygulamaların arkasındaki API'ler.
• İç ağ — bir dayanak noktasının nereye ulaştığı; segmentasyonun dayanıp dayanmadığı.
• Active Directory — ADCS sertifika şablonu istismarı, Kerberoasting, yetki devri, Domain Admin'e giden ACL yolları. Bir BAE kamu kurumu veya altyapı işletmecisi için küçük bir dış dayanak noktasının tam ele geçirmeye dönüştüğü yer burasıdır.
• Bulut — Entra ID ve Azure RBAC yetki yükseltme, açıkta kalan depolama, hatalı kimlik yapılandırması.

Özellikle kritik bilgi altyapısı için bilinçli olarak kapsamlandırmaya değer soru yalnızca çevrenin dayanıp dayanmadığı değil, dayanmadığında birinin nereye kadar gittiğidir — bu da bir varsayılan ihlal değerlendirmesinin ölçtüğü ve bir yönetim kurulunun veya düzenleyicinin gerçekte bilmek istediği şeydir.

NESA ve Dubai ISR birlikte

Pek çok kuruluş ikisini birden taşır: federal düzeyde NESA ve bir Dubai kamu kurumu oldukları ya da birine tedarik yaptıkları için DESC'nin Information Security Regulation'ı. İkisi biri diğerinin yerine geçmeden paralel işler ve teknik test gereklilikleri neredeyse tamamen örtüşür.

Baştan bilinçli olarak ikisine göre kapsamlandırıldığında tek bir çalışma her ikisi için kanıt üretir — testler aynıdır, eşleme farklıdır. Birine göre kapsamlandırılıp sonradan tamamlandığında genellikle iki kez test edilir. Kapsam belirlemede hangi rejimlerin size uygulandığını söylemenin hiçbir maliyeti yoktur ve ilk görüşmede bana söyleyebileceğiniz en getirili şeydir.

Teslimat

Yönetim ve denetçi için bir yönetici özeti, yeniden üretim adımları, kanıtlar ve CVSS derecelendirmeleri içeren teknik bir gövde ve her bulgunun ilgili kontrole eşlenmesi — böylece uyum ekibiniz o tabloyu kendisi kurmaz. Ardından siz düzeltirken giderme desteği, kapatılan bulguların yeniden testi — ki bu bir NESA gerekliliğidir, ek satış değil — ve kimin, hangi kapsamla ve hangi tarihlerde test ettiğini kayda geçiren bir beyan mektubu.

Kritik olan her şey rapora saklanmadan bulunduğu anda bildirilir. Taahhütte bulunmadan önce biçimi görmek isterseniz bir örnek rapor var.

Pratik konular

Çalışma uzaktan yürütülür. Dış, web uygulaması ve bulut testleri sizden kapsam ve yetki dışında bir şey gerektirmez; iç ağ ve Active Directory testleri ortamınızdaki bir VPN veya atlama sunucusu üzerinden yürütülür. Düzenleyiciniz veya kendi politikanız kanıtların nerede işleneceğini ya da saklanacağını kısıtlıyorsa, bu herhangi bir şey başlamadan önce yazılı olarak katılım kurallarına girer.

Amman'dayım, Dubai'den bir saat geride, bölgeyle aynı çalışma haftasında, Arapça veya İngilizce. BAE'de ofis yok ve böyle bir iddia da yok — aldığınız şey, bir dakikadan kısa sürede doğrulayabileceğiniz sertifikalara sahip, testi bizzat yapan kişidir.

Sonraki adımlar

Federal kurum olarak mı, CII olarak mı, yoksa bunlardan biriyle sözleşme üzerinden mi kapsandığınızı; kapsamda ne olduğunu; ve değerlendirmenizin ne zaman olduğunu bana iletin. Karşılığında sabit teklif ve başlangıç tarihi. 90 günlük yeniden test penceresi göz önüne alındığında ilk yanıtlanacak yararlı soru ne kadar payınız olduğudur: bir çeyrekten azsa bu sıralamayı değiştirir ve geç değil erken konuşmalıyız.

İlgili: rejimlerin nasıl birleştiği için BAE'de sızma testi, finansal hizmetler için CBUAE, DFSA, ADGM ve VARA ve geri kalan her şey için uyum genel bakışı. İletişime geçin — Arapça memnuniyetle.