Birleşik Arap Emirlikleri'nde sızma testi
BAE, neredeyse her ülkeden daha fazla iç içe geçmiş siber güvenlik rejimi barındırır - federal, emirlik düzeyinde, sektörel ve serbest bölgelere özgü - ve neredeyse hepsi aynı gereklilikte buluşur: bağımsız bir sızma testi, en az yıllık, kanıtıyla birlikte. Hangisinin sizi ilgilendirdiği ve testin neleri içerdiği aşağıda.
BAE düzenleme haritası, kısaca
BAE federal, emirlik ve sektörel kuralları üst üste bindirir. Çoğu kuruluş birden fazlasına tabidir ve işe yarar çıkarım şudur: iyi kapsamlandırılmış tek bir test birkaçını aynı anda karşılayabilir - tesadüfen değil, bilinçli olarak böyle planlanırsa.
NESA / UAE Information Assurance Standards
Federal temel; kamu kurumlarına ve enerji, su, ulaşım, telekom, finansal hizmetler ve sağlıkta kritik bilgi altyapısı olarak belirlenmiş kuruluşlara uygulanır. Teknik zafiyet yönetimi, değerlendirmelerin ve sızma testlerinin yürütülmesini ve izlenmesini gerektirir - pratikte yıllık. İki gereklilik insanları hazırlıksız yakalar: kritik ve yüksek bulgular belirlenmiş süre içinde - genellikle 90 gün - yeniden test kanıtıyla belgelenmiş giderim gerektirir; ve denetçiler testi yapanın yetkinliklerini inceler, açıkça belirtilen beklenti OSCP veya dengidir. NESA sayfası ayrıntıya giriyor (İngilizce).
Dubai ISR (DESC)
Dubai Electronic Security Centre'ın Information Security Regulation'ı Dubai kamu kurumlarını ve onlara hizmet veren tedarikçileri bağlar. NESA'nın yerini almak yerine onunla paralel yürür ve Dubai hükümetiyle çalışan kuruluşların sıklıkla ikisini birden belgelemesi gerekir. Test gerekliliği esasen benzerdir; dolayısıyla ikisi için kapsamlandırılmış tek bir çalışma tek bir kanıt seti üretir.
Finansal hizmetler: CBUAE, DFSA, ADGM
BAE merkez bankası onshore bankalar ve finansman şirketleri için beklentileri belirler; DFSA DIFC şirketlerini, FSRA ise ADGM şirketlerini düzenler. Üçü de düzenli bağımsız güvenlik testleri bekler ve üçü de sızma testi diye sunulan bir zafiyet taramasına kuşkuyla bakar. Ayrıntısı burada (İngilizce).
VARA: sanal varlıklar
Dubai'nin sanal varlık düzenleme otoritesi, lisanslı her sağlayıcıdan Technology and Information Rulebook kapsamında en az yıllık bağımsız sızma testi ister; gerekli ve orantılı gördüğünde istihbarat güdümlü test de talep edebilir. Kural kitabı HSM destekli anahtar yönetimi, soğuk depolama asgarileri ve önem derecesine göre 24-72 saat içinde olay bildirimi gereklilikleriyle birlikte durur.
Sağlık: ADHICS
Abu Dabi'nin sağlık bilgisi güvenliği standardı, emirlikteki sağlık kuruluşlarına ve teknoloji tedarikçilerine uygulanır; klinik veri kontrollerinin yanında test ve kanıt gereklilikleri içerir. Daha fazlası burada (İngilizce).
Veri koruma
Federal PDPL ile DIFC ve ADGM'nin ayrı veri koruma kanunları, kişisel veri işlenen her yerde güvenlik yükümlülükleri getirir. Sızma testini adıyla anmazlar ama ölçüt "uygun teknik önlemler"dir ve bir olaydan sonra bunu kanıtlamak, dosyada güncel bağımsız bir test varken çok daha kolaydır.
Tek test, birden fazla yükümlülük
BAE'deki pahalı hata, her düzenleyici için ayrı bir değerlendirme satın almaktır. Çoğu durumda teknik kapsam neredeyse tamamen örtüşür - dış yüzey, web uygulamaları ve API'ler, iç ağ ve Active Directory, bulut kiracısı - ve değişen şey eşleştirme ile raporlamadır, test değil.
Bu nedenle çalışma, tabi olduğunuz her şeye karşı bir kez kapsamlandırılır ve rapor her bulguyu her geçerli kontrole bağlar. Pratik kapsam:
- Dış ağ - internetten erişilebilen her şey, kimsenin yayımladığını hatırlamadığı sunucular dahil.
- Web uygulamaları ve API'ler - kimlik doğrulama, yetkilendirme, iş mantığı, enjeksiyon. Her düzenleyicinin sorduğu, müşteriye dönük katman.
- İç ağ - bir dayanak noktasının nereye ulaştığı ve segmentasyonunuzun gerçekten tutup tutmadığı.
- Active Directory - ADCS istismarı, Kerberoasting, yetki devri ve Domain Admin'e giden ACL yolları.
- Bulut - Entra ID ve Azure RBAC'te yetki yükseltme, açıkta kalan depolama, kimlik yapılandırma hatası.
VARA kapsamındaki sanal varlık sağlayıcıları için saklama sınırını ekleyin: cüzdan altyapısı, imzalama akışları ve anahtar materyali çevresindeki operasyonel kontroller - kayıp web arayüzünde değil, burada gerçekleşir.
Yetkinlik gerekliliği, somut olarak
Çoğu uyumluluk sayfası bunu geçiştirir, ancak BAE'de alışılmadık biçimde somuttur: NESA denetçileri testi kimin yaptığını inceler ve beklenti OSCP veya dengidir. Tanınmış bir saldırgan güvenlik sertifikası olmayan birinin yaptığı testler sorgulanır ve denetimde kimi zaman reddedilir.
Saldırgan tarafta OSCP+ - sertifikanın güncel, yenilenmiş biçimi - ile eCPPT, eWPT ve eCIR; Microsoft güvenlik tarafında AZ-500, SC-200 ve SC-300 sertifikalarım var; bu, Entra ID ve Azure bölümünü genel değil inandırıcı kılar. Hepsi OffSec kimlik cüzdanında bağımsız olarak doğrulanabilir ve bu bağlantının yeri, raporun yanında kanıt paketinizdir.
Çalışma nasıl ilerler
Önce kapsam ve teklif: yükümlülüğü, ortamı ve son tarihi siz söylersiniz; sabit fiyat ve başlangıç tarihi alırsınız, genellikle bir-iki hafta içinde. Çalışma kuralları yazılı olarak kararlaştırılır; test pencereleri, yükseltme irtibatları ve düzenleyicinizin kanıtın nerede işleneceği ya da saklanacağına dair koşulları dahil.
Test kapsama göre genellikle bir-iki hafta sürer; kritik olan her şey nihai belgeye saklanmak yerine anında bildirilir. Rapor birkaç gün içinde gelir: özet, yeniden üretim adımları ve CVSS puanlarıyla teknik bulgular, kontrol eşleştirmesi ve önceliklendirilmiş giderim. Ardından düzelttiklerinizin yeniden testi ve bir beyan mektubu - BAE'de sanıldığından daha önemlidir, çünkü 90 gün içindeki yeniden test kanıtı başlı başına bir gerekliliktir, ek hizmet değil.
Amman'dan uzaktan çalışıyorum; Dubai'nin bir saat gerisinde, bölgeyle aynı hafta ritminde, Arapça ya da İngilizce. Yerel ofis yok ve olduğunu iddia etmeyeceğim - bunun yerine aldığınız şey, işi yapan kişinin kendisi, doğrudan ve doğrulanabilir yetkinliklerle.
Buradan başlayın
Hangi düzenleyiciye karşı sorumlu olduğunuzu ve kapsamda neyin bulunduğunu söyleyin. Emin değilseniz - bu kadar iç içe geçmiş rejimle gayet normaldir - kısa bir görüşme bunu çözer. Uyumluluk genel bakışı çerçeveleri yan yana karşılaştırır, ücretsiz çevre taraması mevcut dış açıklığınızı dakikalar içinde gösterir ve örnek rapor tam olarak ne alacağınızı gösterir.
İletişime geçin - Arapça talepler memnuniyetle karşılanır ve takvimi bir sunum son tarihi belirliyorsa bunu ilk satırda yazın.
BAE: sık sorulanlar
Kabaca: federal kurumlar ve kritik olarak belirlenmiş bilgi altyapısı - enerji, su, ulaşım, telekom, finansal hizmetler, sağlık - NESA'nın Information Assurance Standards'ına tabidir. Dubai kamu kurumları ve tedarikçileri DESC'in ISR'sine tabidir. Bankalar ve finansman şirketleri merkez bankasına; DIFC şirketleri DFSA'ya, ADGM şirketleri FSRA'ya; Dubai'deki sanal varlık hizmet sağlayıcıları VARA'ya karşı sorumludur. Abu Dabi'de sağlık ADHICS kapsamındadır. Birçok kuruluş aynı anda iki ya da üçüne tabidir; bu normalde sorun değildir - iyi kapsamlandırılmış tek bir test, baştan böyle planlanırsa hepsi için kanıt üretebilir.
Evet. Information Assurance Standards kapsamındaki teknik zafiyet yönetimi, zafiyet değerlendirmeleri ve sızma testlerinin yürütülmesini ve izlenmesini gerektirir; bu, kapsamdaki kurumlar için pratikte en az yıllık demektir. Testin ötesinde iki ayrıntı önemlidir: kritik ve yüksek bulgular, belirlenmiş bir süre içinde - tipik olarak 90 gün - yeniden test kanıtıyla belgelenmiş giderim gerektirir; yeniden testi olmayan bir test eksik bir yanıttır. Ve NESA denetçileri testi yapanın yetkinliklerini inceler; beklenti OSCP veya dengidir.
Evet. VARA'nın Technology and Information Rulebook'u uyarınca Dubai'de lisanslı her sanal varlık hizmet sağlayıcısının yılda en az bir kez bağımsız sızma testi yaptırması gerekir; VARA ayrıca gerekli ve orantılı gördüğünde istihbarat güdümlü test isteyebilir. Kural kitabı ayrıca HSM ile anahtar yönetimini, soğuk depolama asgarilerini ve önem derecesine göre 24-72 saat içinde olay bildirimini kapsar. Bu sağlayıcılar için kapsamın genellikle standart bir web testinin ötesine geçmesi gerekir - cüzdan altyapısı, imzalama akışları ve saklama sınırı gerçek riski taşır.
Hayır. Dış testler, web uygulamaları, bulut ve iç testlerin çoğu uzaktan teslim edilir; bu bölgede standarttır. İç ağ ve Active Directory, ortamınızdaki bir VPN veya atlama sunucusu üzerinden yürütülür. Bir düzenleyici ya da kendi politikanız verinin nerede işleneceğini veya kanıtın nerede saklanacağını kısıtlıyorsa, bu başlamadan önce yazılı olarak çalışma kurallarına girer.
Genellikle kapsam üzerinde anlaşmadan sonraki bir-iki hafta içinde; bir sunum son tarihi varsa daha hızlı. Testi yapanla doğrudan anlaştığınız için imza ile başlangıç arasında iç kaynak kuyruğu yoktur. Tipik bir dış artı web uygulaması çalışması bir-iki hafta test sürer; rapor bitişten birkaç gün sonra gelir - takvimin ayrıntısı (İngilizce).
NESA, ISR veya VARA son tarihi mi var?
Yükümlülüğü ve kapsamı söyleyin; sabit fiyat ve başlangıç tarihi alın.