Ana sayfa Yazılar Kara kutu, gri kutu ve beyaz kutu sızma testini ne ayırır
Kara kutu, gri kutu ve beyaz kutu sızma testini ne ayırır
Kara kutu, gri kutu ve beyaz kutu, test eden kişiye iş başlamadan verilen bilgiyi anlatır. Kara kutuda adres vardır, hesap yoktur. Gri kutuda hesap ve rol vardır. Beyaz kutuda kaynak, mimari veya yapılandırma da açılır. Penetrasyon testinde bu seçim, imzalı kapsam formunun bilgi düzeyi satırında durur. Satır boşsa gün, kapıda bekler.
Kısa sonuç
- Üç ad, üç derinliktir. Aynı gün sayısı aynı işi vermez.
- Hesap verilmeyen rol, o turda açık kalan satır olur.
- Kaynak kodu istenmeden beyaz kutu yazılmaz.
- Bilgi düzeyi, form imzalanmadan sözle değişmez.
Kara kutu yalnızca dışarıdan bakar
Kara kutu, saldırganın elinde adres ve herkese açık sayfa varken başlayan bakıştır. Giriş, rol ve iç adres verilmez. Kayıt herkese açıksa, test eden kişi kendi test hesabını o yolla açabilir. Kayıt kapalıysa girişin arkası bu turda bakılmaz.
Bu eksik, raporda temiz diye kapanmaz. Kanıtı bitmeyen satır açık kalan kalır. Açık kalanın nedeni ve devamı için gereken hesap, kapsam kaydına yazılır.
Fiyatı da bu satır değiştirir. Kara kutu ile gri kutu aynı pakette duruyorsa, sızma testi fiyatını alt satırdan okuyun.
Gri kutu rolü ayırır
Gri kutuda kurum, test hesabını ve yetki düzeyini önceden verir. Sıradan kullanıcı, yönetici ve sınırlı bir üçüncü rol ayrı kümedir. Bir rolle bakılan kayıt, diğer rolün kaydı değildir.
Hesabın süresi formda yazar. Süresi biten hesapla devam edilmez. Müşterinin kişisel hesabı, formda ayrıca açılmadıkça kullanılmaz. Verilen hesap, üretim verisini silmek veya dışarı çıkarmak için değildir.
Beyaz kutu kaynağı da açar
Beyaz kutuda test eden kişi, davranışı yalnızca dışarıdan denemez. Kaynak, yapılandırma veya mimari notu da önündedir. Bu, her satırın otomatik taranması demek değildir. Araç aday liste açar. Satır yine elle kapanır.
Kaynak verilmeden teklife beyaz kutu yazmak, gri kutuyu başka adla satmaktır. Kaynak verilecekse hangi depo, hangi sürüm ve hangi dal olduğu formda durur. Dal değişirse ek onay gerekir.
Form hangisini kilitler
PTES, kapsamın neyin test edileceğini, angajman kuralının ise nasıl test edileceğini ayırır. Bilgi düzeyi ikinci taraftadır. NIST SP 800-115 de değerlendirmeyi, nesnenin hedefe uyup uymadığını belirleyen bir iş olarak anlatır. Hedef ve yöntem yazılmadan sonuç okunmaz.
Seçimi kapsam formuna işleyin. İşin sırası sızma testi sürecinde durur. Teklif için iletişim formu açıktır.