SAMA Sızma Testi Gereklilikleri
Suudi Merkez Bankası sizi denetliyorsa, sızma testi bir proje değil yıllık yinelenen bir yükümlülüktür. Çerçeve, kanıtınızın incelemeden geçip geçmeyeceğini belirleyen iki konuda nettir: test bağımsız olmalıdır ve kapsam müşterilerinizin dokunabildiği sistemlere ulaşmalıdır.
Gereklilik, açıkça ifade edilmiş hâliyle
Suudi Merkez Bankası denetimindeki kurumların, dışa dönük sistemleri, web uygulamalarını ve ağ altyapısını kapsayacak şekilde asgari yıllık bağımsız dış sızma testleri yürütmesi beklenir.
Bu cümledeki üç sözcük tüm yükü taşır ve her biri kanıtın incelemede sıklıkla düştüğü bir noktadır:
- Bağımsız — test edilen sistemleri kuran veya işleten ekip tarafından yapılmamış.
- Asgari yıllık — yıllık döngü bir tabandır ve internete açık sistemlerdeki maddi değişiklik ayrı bir tetikleyicidir.
- Sızma testi — farklı bir kapak sayfasıyla sunulan bir zafiyet taraması değil. Denetçiler ikisini ayırt etmekte ustalaştı.
SAMA kanıtı gerçekte nerede düşer
İtiraz edilenlerin çoğunu dört başarısızlık biçimi açıklar ve dördünü de önlemek gidermekten ucuzdur.
Sızma testi diye sunulan bir tarama
İşaret yapısaldır: her bulgu, üreticinin sağladığı açıklamayla bir CVE'dir, hiçbir şey zincirlenmemiştir ve bir saldırganın neyi başarabileceğini açıklayan bir anlatı yoktur. Sızma testi etkiyi gösterir: bu açıktaki servis bir kimlik bilgisi verir, o kimlik bilgisi bu iç sisteme ulaşır, o sistem bu veriyi tutar. Raporunuz sıralanmış bir sürüm listesiyse, o bir taramadır. Ayrım, tüm ayrıntısıyla.
Ayakta kalmayan bağımsızlık
Mühendislik ekibinin, altyapıyı da işleten yönetilen hizmet sağlayıcının veya kendi ürününü değerlendiren bir üreticinin yaptığı testler. Test ne kadar yetkin yapılmış olursa olsun bunların her biri bağımsızlık gerekliliğini karşılamaz.
Müşteriye dönük katmanı kaçıran kapsam
Mobil bankacılık arka uçları, iş ortağı API'leri, kapsam imzalandıktan sonra devreye alınan yeni fintech entegrasyonu. İnternete açık sistemler ve web uygulamaları çerçevede açıkça adlandırılmıştır, dolayısıyla buradaki bir boşluk takdir meselesi değil doğrudan bir eksikliktir.
Yeniden test yok
On iki yüksek önem dereceli bulgu içeren ve hiçbirinin kapatıldığına dair kanıt olmayan bir rapor, inceleyen açısından çözülmemiş bir sorunun belgesidir. Giderme ve yeniden test döngüsü, bir testi uyum kanıtına dönüştüren şeydir.
Çalışmanın kapsamı
Düzenleyici temel çizgi, her yıl:
- Dış ağ testi — internete açık tüm envanter: internet bankacılığı, ödeme arayüzleri, VPN ve uzaktan erişim, posta altyapısı ve bir proje için yayımlanıp hiç geri çekilmemiş sunucular.
- Web uygulaması ve API testi — kimlik doğrulama ve oturum yönetimi, müşteriler arası yetkilendirme ve erişim denetimi, işlem akışlarındaki iş mantığı, enjeksiyon ve mobil uygulamaların arkasındaki API'ler. Bir finans kurumunda iş mantığı bulguları genellikle en çok önem taşıyan ve otomasyonun asla bulamadığı bulgulardır.
Bunun yanında önerilen ve kurumların çoğunun yıllık veya dönüşümlü bir döngüde dahil ettiği:
- İç ağ testi — bir dayanak noktasının gerçekte nereye ulaştığı ve kurumsal ile ödeme ortamları arasındaki segmentasyonun dayanıp dayanmadığı.
- Active Directory — ADCS istismarı, Kerberoasting, yetki devri ve Domain Admin'e giden ACL yolları. Mütevazı bir dayanak noktası banka geneli bir ele geçirmeye böyle dönüşür ve bu dış testlere görünmezdir.
- Bulut — Entra ID ve Azure RBAC yetki yükseltme, açıkta kalan depolama ve hatalı kimlik yapılandırması, iş yüklerinin taşındığı yerde.
- Varsayılan ihlal — çevreden değil bir dayanak noktasından başlamak; bu, bir yönetim kurulunun gerçekte sorduğu soruyu yanıtlar: biri nereye kadar gidebilirdi?
Kart verisi de işliyorsanız, PCI DSS Gereklilik 11.4 paralel olarak uygulanır ve önemli ölçüde örtüşür — birlikte kapsamlandırıldığında iki değil tek bir çalışmadır.
Teslimat
Finans kurumlarının gerçekte kullandığı biçime göre kurulmuş bir rapor: yönetim kurulunuzun ve düzenleyicinizin çeviriye gerek duymadan okuyabileceği bir yönetici özeti, mühendisleriniz için yeniden üretim adımları, kanıtlar ve CVSS derecelendirmeleri içeren teknik bir gövde ve her bulgunun ilgili olduğu çerçeve kontrolüne açık eşleme — böylece uyum ekibiniz bu eşlemeyi kendisi kurmak zorunda kalmaz.
Ardından bir raporu kanıta dönüştüren kısımlar: siz düzeltirken giderme desteği, kapatılan bulguların yeniden testi ve testin yapıldığını, kim tarafından, hangi kapsama karşı ve hangi tarihlerde yapıldığını belirten bir beyan mektubu. Hepsi dahil. Bir örnek rapor biçimi gösterir.
Testi kim yapar
Doğrudan testi yapan kişiyle muhatap olursunuz — müşteri temsilcisi yok, faturada kıdemlinin adıyla araç çalıştıran bir juniör yok, test ile rapor arasında üç haftalık bekleme yok. Düzenleyici bir son tarih için bu doğrudanlık genellikle tarihi tutturmayı sağlayan şeydir.
Sertifikalar, finans sektörü satın almasında bu her zaman sorulduğu için: OSCP+, eCPPT, eWPT, eCIR, ayrıca Microsoft ve Azure tarafı için AZ-500, SC-200 ve SC-300 — hepsi OffSec credential wallet üzerinden doğrulanabilir. Tam zamanlı saldırgan güvenliğe geçmeden önce tespit mühendisi ve CTI analistiydim; bu, özellikle bu sektörde yararlı bir geçmiş: rapor size yalnızca bir saldırı yolunun nasıl işlediğini değil, SIEM'inizde nasıl görüneceğini ve izlemenizin bunu yakalayıp yakalamayacağını da anlatır.
Amman'dan GMT+3 saat diliminde, Riyad ile aynı saatler ve aynı çalışma haftasında, Arapça veya İngilizce, uzaktan çalışıyorum.
Nasıl başlanır
Lisans türünüzü, kapsamda ne olduğunu ve testin ne zamana tamamlanması gerektiğini bana iletin. Sabit fiyatlı teklif ve başlangıç tarihi alırsınız. Yıllık döngünüz yaklaşıyorsa ve önce mevcut dış maruziyetinizi görmek istiyorsanız, ücretsiz çevre taraması birkaç dakika sürer.
İlgili: SAMA'nın NCA ECC ile nasıl yan yana durduğu için Suudi Arabistan'da sızma testi, ayrıca bir kamu yükümlülüğü de taşıyorsanız ECC kontrol 2-11 ve geri kalan her şey için uyum genel bakışı. İletişime geçin — Arapça memnuniyetle.
SAMA soruları
Suudi Merkez Bankası denetimindeki üye kuruluşları: bankalar, sigorta ve reasürans şirketleri, finans şirketleri, kredi büroları ve SAMA lisansıyla veya düzenleyici kum havuzunda faaliyet gösteren fintech'ler dahil ödeme hizmeti sağlayıcıları. Lisansınız SAMA'dan geliyorsa çerçeve size uygulanır. Fintech'ler buna sık sık şaşırır: yükümlülük lisansla birlikte, güvenlik programının çoğu zaman hâlâ şekillenmekte olduğu bir aşamada gelir.
Bağımsız dış sızma testi, asgari yıllık. O cümledeki «asgari» gerçek bir iş yapar: internete açık sistemlerde maddi bir değişikliğin, yıllık döngünün neresinde olursanız olun test tetiklemesi genel olarak beklenir ve yıllık testinden altı ay sonra müşteriye dönük yeni bir platform devreye alıp test etmeyen bir kurum zor bir görüşme yaşayacaktır. Yıllık testi taban, önemli değişikliği ayrı bir tetikleyici olarak görün.
Testin, test edilen sistemleri kuran veya işleten kişilerce yapılamayacağı anlamına gelir. Mühendislikten ayrı raporlayan bir iç güvenlik birimi buna yaklaşır, ancak en temiz ve en yaygın kabul gören yanıt, ortamı kurma veya işletmede hiçbir rolü olmayan dış bir taraftır. Kurumların en sık yanlış yaptığı gereklilik budur ve bunu kapsam belirlemede değil incelemede keşfederler — ki bu pahalı sıralamadır.
Açıkça adı geçen kapsam internete açık sistemler, web uygulamaları ve ağ altyapısıdır. Çoğu kurum daha ileri gider ve haklı olarak: bir saldırganın çevreye ulaşabildiğini kanıtlayan ama sonrasında ne olduğunu hiç sormayan bir test sorunun yarısını yanıtlar. İyi işleyen düzen, düzenleyici temel çizgi olarak her yıl tam bir dış ve web uygulaması değerlendirmesi, buna ek olarak en az iki yılda bir veya envanter maddi olarak değiştiğinde iç ağ ve Active Directory testleridir.
Evet ve olağan durum budur. Genellikle çerçeve eşlemeniz, bir GRC biriminiz ve iç denetimle bir ilişkiniz zaten vardır; ihtiyacınız olan, bunlara oturan test ve kanıttır. Karşılamanız gereken kontrole göre kapsam belirler, bulguları raporda o kontrole geri eşler ve uyum ekibinizin dosyalaması gereken yeniden test ile beyanı teslim ederim. GRC danışmanlığı değilim ve size bir çerçeve programı satmaya çalışmayacağım — test benim yaptığım kısım.
Yıllık SAMA testi mi yaklaşıyor?
Bağımsız, çerçeveye göre kapsamlandırılmış, uyum ekibinizin dosyaladığı yeniden test ve beyanla birlikte.