Suudi Arabistan'da sızma testi

Suudi düzenleyiciler gerçekte ne istiyor

Krallık'ta üç ayrı rejim sızma testini zorunlu kılar ve hangisinin sizi ilgilendirdiği kapsamı, sıklığı ve saklamanız gereken kanıtı belirler.

NCA Essential Cybersecurity Controls (ECC)

National Cybersecurity Authority'nin ECC'si ulusal temeldir; kamu kurumlarını, yüklenicilerini ve kritik ulusal altyapı işletmecilerini bağlar. Kontrol 2-11 sızma testini kapsar (sayfa İngilizce): gereklilikler tanımlanmalı, belgelenmeli ve onaylanmalı; uygulanmalı; kapsam internete açık hizmetleri ve arkasındaki teknik altyapıyı içermelidir. Test periyodiktir ve denetçinin aradığı kanıt tam döngüdür - kapsam belgesi, test raporu, giderim, yeniden test - tarih atılmış bir PDF değil.

Critical Systems Cybersecurity Controls (CSCC)

Sistemlerinizden biri kritik olarak sınıflandırılmışsa CSCC çıtayı yükseltir: bu sistemler yıllık yerine en az altı ayda bir test edilmelidir. Bu, birçok kuruluşu şaşırtır; çünkü bütçe ve satın alma döngüsü genellikle yılda bir test üzerine kuruludur. Erken sınıflandırın, çünkü altı aylık ritim çalışmanın ticari biçimini bütünüyle değiştirir.

SAMA Cyber Security Framework

Suudi merkez bankası denetimindeki finans kuruluşlarının - bankalar, sigortacılar, finansman şirketleri, ödeme sağlayıcıları - en az yıllık bağımsız dış sızma testleri yürütmesi beklenir (sayfa İngilizce); kapsam internete açık sistemler, web uygulamaları ve ağ altyapısıdır. İşleyen koşul bağımsızlıktır: sistemi kuran veya işleten ekibin yaptığı test bunu karşılamaz; sızma testi diye sunulan bir zafiyet taraması da karşılamaz.

Ve yanında yürüyenler

SDAIA'nın kişisel verilerin korunması kanunu, kişisel veri işlenen her yerde kendi güvenlik yükümlülüklerini getirir; Cloud Cybersecurity Controls, iş yükleri bir bulut sağlayıcıda duruyorsa geçerlidir; ve büyük şirketler giderek kendi tedarikçi güvenlik standartlarını dayatır - Aramco'nun üçüncü taraf gereklilikleri Suudi tedarikçilerin ilk karşılaştığı örnektir. Kartla ödeme alıyorsanız bunların üzerine PCI DSS Gereklilik 11.4 eklenir; bu, PCI DSS sayfasında ele alınıyor.

Bir test gerçekte neyi kapsar

Pratikte 2-11 kontrolünü ve SAMA'yı karşılayan kapsam, alışılmış sırayla:

• Dış ağ testleri - kuruluşunuzun internete açtığı her şey: VPN yoğunlaştırıcıları, e-posta, uzaktan erişim, unutulmuş hazırlık sunucuları ve kimsenin yayımladığını hatırlamadığı hizmetler. 2-11'in kapsamında açıkça yer alır ve gerçek saldırıların çoğu buradan başlar.
• Web ve API testleri - müşteriye dönük uygulamalarınız ve arkalarındaki API'ler üzerinde kimlik doğrulama, yetkilendirme, iş mantığı ve enjeksiyon. SAMA kapsamında adı geçer.
• İç ağ testleri - içeride tutunacak yer bulmuş birinin nereye ulaşabildiği: tutmayan segmentasyon, düz ağlar, olmaması gereken yerlerde duran kimlik bilgileri.
• Active Directory - ADCS sertifika şablonu istismarı, Kerberoasting, yetki devri sorunları ve Domain Admin'e giden ACL yolları. Neredeyse her büyük Suudi kuruluşu AD üzerinde çalışır ve dışarıdaki küçük bir dayanak noktası tam ele geçirmeye burada dönüşür.
• Bulut - Entra ID ve Azure RBAC'te yetki yükseltme yolları, açıkta kalan depolama ve bulut kiracısını bir engel değil kestirme yol haline getiren kimlik yapılandırma hataları.

Ne alırsınız

Aynı anda iki okura yazılmış bir rapor: bir yönetim kurulunun ya da düzenleyicinin çevirmen olmadan izleyebileceği bir özet ve mühendislerinizin doğrudan çalışabileceği, yeniden üretim adımları, kanıtlar ve CVSS puanları içeren teknik bir gövde. Her bulgu, testi gerektiren kontrole bağlanır; böylece denetçi, bu eşleştirmeyi siz kurmadan yükümlülükten kanıta yürüyebilir.

Giderim desteği ayrı satılmak yerine dahildir - düzeltme sırasındaki sorular yanıtlanır - kapattığınız bulguların yeniden testi ve testin yapıldığını, kimin yaptığını, hangi kapsamda ve hangi tarihlerde olduğunu belirten beyan mektubu da öyle. Deneyimime göre denetçiye ya da kanıt isteyen kurumsal müşteriye giden belge beyan mektubudur. Bağlanmadan önce biçimi görmek isterseniz bir örnek rapor var (İngilizce).

Neden bağımsız bir danışmanla çalışmalı

Testi yapan kişiyle konuşursunuz. Soruları aktaran bir müşteri temsilcisi yok, faturada kıdemli adıyla tarayıcı çalıştıran bir çaylak yok ve testin bitişiyle raporun gelişi arasında üç haftalık boşluk yok. Bir ECC ya da SAMA son tarihi söz konusuysa bu doğrudanlık genellikle tarihi tutturmakla tutturamamayı açıklamak arasındaki farktır.

Körfez'e pratik uyumu açıkça söylemekte fayda var: Amman'dan GMT+3'te çalışıyorum - Riyad, Cidde ve Dammam ile aynı çalışma saatleri ve aynı hafta - dolayısıyla test sırasında ortaya çıkan bir soru aynı gün yanıtlanır. Arapça da İngilizce de olur. OSCP+ ile birlikte eCPPT, eWPT, eCIR, AZ-500, SC-200 ve SC-300 sertifikalarım var; hepsi OffSec kimlik cüzdanında bağımsız olarak doğrulanabilir - burada bu önemlidir, çünkü denetçiler testi kimin yaptığını ve neye sahip olduğunu giderek daha sık soruyor.

Yapmayacağım şey, yerel bir firmaymışım gibi davranmak. Riyad'da ofisim yok ve olduğunu iddia etmeyeceğim. Olduğum şey şu: doğrudan anlaştığınız, sizin saat diliminizde ve dilinizde çalışan, yetkinlikleri otuz saniyede doğrulanabilen bir uzman.

Nasıl başlanır

Karşılamanız gereken kontrolü söyleyin - 2-11, altı aylık bir CSCC döngüsü, yıllık bir SAMA testi - kapsamı ve son tarihinizle birlikte. Keşif süreci değil, sabit fiyatlı bir teklif ve başlangıç tarihi alırsınız. Önce somut bir şey görmek isterseniz ücretsiz çevre taraması dış yüzeyinizin şu an neyi açığa çıkardığını gösterir ve uyumluluk genel bakışı diğer çerçeveleri karşılaştırır.

Hangi rejimin sizi ilgilendirdiğinden emin değilseniz bu normal bir sorudur ve kısa bir görüşme çözer. İletişime geçin - Arapça talepler memnuniyetle karşılanır.