Documentație11.3. Formalizarea evaluării
Cu mediul tău Kali pregătit și tipul de evaluare definit, ești aproape gata să începi să lucrezi. Ultimul pas este să formalizezi munca de făcut. Acest lucru este extrem de important, deoarece acesta definește care vor fi așteptările pentru lucrare și vă oferă permisiunea de a desfășura ceea ce altfel ar fi o activitate ilegală. Vom acoperi acest lucru la un nivel înalt, dar acesta este un pas foarte complex și important, așa că probabil că veți dori să verificați cu reprezentantul legal al organizației dumneavoastră pentru asistență.
Ca parte a procesului de formalizare, va trebui să definiți regulile de angajare pentru lucrare. Aceasta acoperă articole precum:
• Cu ce sisteme ai voie să interacționezi? Este important să vă asigurați că nu interferați accidental cu ceva esențial pentru operațiunile de afaceri.
• La ce oră din zi și peste ce fereastră de atac este permisă evaluarea? Unelor organizații le place să limiteze timpul în care poate fi efectuată activitatea de evaluare.
• Când descoperiți o potențială vulnerabilitate, aveți voie să o exploatați? Dacă nu, care este procesul de aprobare? Există unele organizații care adoptă o abordare foarte controlată a fiecărei încercări de exploatare, în timp ce altele ar dori o abordare mai realistă. Cel mai bine este să definiți clar aceste așteptări înainte de începerea lucrărilor.
• Dacă se descoperă o problemă semnificativă, cum ar trebui tratată? Uneori, organizațiile doresc să fie informate imediat, altfel este abordată de obicei la sfârșitul evaluării.
• În caz de urgență, pe cine trebuie să contactați? Este întotdeauna important să știți pe cine să contactați atunci când apare o problemă de orice fel.
• Cine va ști despre activitate? Cum le va fi comunicat? În unele cazuri, organizațiile vor dori să își testeze răspunsul la incident și performanța de detectare ca parte a evaluării. Este întotdeauna o idee bună să știți acest lucru dinainte, astfel încât să știți dacă ar trebui să luați vreun grad de ascuns în abordarea evaluării.
26http://tools.kali.org/category/web-applications 27http://tools.kali.org/category/reverse-engineering 28http://tools.kali.org
• Care sunt așteptările la finalul evaluării? Cum vor fi comunicate rezultatele? Aflați la ce se așteaptă toate părțile la sfârșitul evaluării. Definirea livrabilului este cel mai bun mod de a-i face pe toți fericiți după finalizarea lucrării.
Deși nu este completă, această listă vă oferă o idee despre detaliile care ar trebui acoperite. Cu toate acestea, ar trebui să vă dați seama că nu există niciun substitut pentru o bună reprezentare legală. Odată ce aceste elemente sunt definite, trebuie să obțineți autorizația corespunzătoare pentru a efectua evaluarea, deoarece o mare parte din activitatea pe care o veți desfășura în cursul unei evaluări poate să nu fie legală fără autorizarea corespunzătoare din partea unei persoane cu autoritatea de a acorda această permisiune.
Cu toate acestea, mai există un ultim pas pe care veți dori să îl faceți înainte de a începe lucrul: validarea. Nu aveți încredere niciodată în domeniul de aplicare care vi se oferă - validați-l întotdeauna. Utilizați mai multe surse de informații pentru a confirma că sistemele din domeniu sunt de fapt deținute de client și că sunt operate și de client. Odată cu prevalența serviciilor cloud, o organizație poate uita că de fapt nu deține sistemele care le oferă servicii. Este posibil să descoperiți că trebuie să obțineți o permisiune specială de la un furnizor de servicii cloud înainte de a începe lucrul. În plus, validați întotdeauna blocurile de adrese IP. Nu vă bazați pe presupunerea unei organizații că deține blocuri IP întregi, chiar dacă le semnează ca ținte viabile. De exemplu, am văzut exemple de organizații care solicită o evaluare a întregii game de rețele de clasă C atunci când, de fapt, dețineau doar un subset al acelor adrese. Atacând întregul spațiu de adrese de clasa C, am fi ajuns să atacăm vecinii de rețea ai organizației. The Analiza OSINT subcategoria a Colectarea de informații meniul conține o serie de instrumente care vă pot ajuta cu acest proces de validare.