Dış ağ sızma testinde hangi adres bakılır

Formda yazılan adres bakılır. Sızma testi, alan adı veya IP satırının dışına kendiliğinden yayılmaz. Keşifte görünen komşu, alt alan veya eski sunucu, ek onay olmadan hedef olmaz. Penetrasyon testi, adres herkese açık diye izni varsaymaz.

Kısa sonuç

Satırda ad ve adres birlikte durur.
Üretim ile test aynı ada baksa bile aynı satır olmayabilir.
Komşu adres, kapsam dışı nottur. İstek oraya gitmez.
Barındıran firmanın izni yoksa o IP de dışarıda kalır.

Satır nasıl yazılır

Her varlık için ad, adres, ortam, barındırma ve kritiklik durur. Ortam üretim, test veya geliştirme diye seçilir. Ayrım ortam yazısında vardır. “Şirketin bütün dış yüzü” bir satır değildir.

Saat ve testin çıkacağı kaynak adres de yazılır. İzleme ekibi bu kaynakla alarmı ayırır. Kaynak yazılmadan başlayan dış tur, kurumun kendi alarmını test sanmasına yol açar.

Keşif kapsamı büyütmez

Bilgi toplamak, formdaki adreste kalır. O adresten görünen başka bir ada istek gitmez. Gitmesi gerekiyorsa ek yazılır ve onaylanır. Onaysız ek yürümez. PTES, kapsam kaymasını angajman öncesinde önlenmesi gereken iş sayar.

NIST SP 800-115, değerlendirilecek nesneyi baştan seçtirir. Seçilmeyen nesne, test sırasında “ilgili göründü” diye eklenmez.

Raporda komşu ne olur

Komşu, bulgu kartı olmaz. Kapsam dışı diye not düşülür. Not, o adreste açık var demek değildir. Bakılmadı demektir. Bakılmayan yer temiz yazılmaz.

Dış ve iç aynı teklifteyse ikisi ayrı satırdır. İç taraf ayrı yazıdadır. İkisi de taslak kümesindedir. Ağ hizmeti şurada durur.