Ana sayfa Yazılar Sosyal mühendislik sızma testine girer mi
Sosyal mühendislik sızma testine girer mi
Girmez. Formda ayrıca yazılmadıkça sosyal mühendislik kapalıdır. Çalışana mektup, arama veya ofis ziyareti, sızma testinin varsayılan parçası değildir. Penetrasyon testi de aynı kapıyla yürür. “Gerçek saldırgan yapar” cümlesi, imzayı değiştirmez.
Kısa sonuç
- Varsayılan iş, formdaki sistemdedir. Kişide değildir.
- Açılacaksa hedef kitle, ileti metni ve durdurma ayrı satırda durur.
- Kişisel hesap ve kişisel cihaz, formda yoksa dışarıdadır.
- Fiziksel giriş de ayrıca açılmadan yapılmaz.
Neden kapalı başlar
Kişiye giden bir deneme, sistem satırından başka bir izindir. Kim hedef, hangi ileti, hangi saat ve sonuç kime görünecek, baştan yazılır. Yazılmazsa test eden kişi, kurumun çalışanını kapsam dışı bir hedef yapar.
PTES, kapsam ile angajman kuralını ayırır. Kural, nasıl deneneceğidir. Kişiye gitmek, nasıl’ın en kolay taşan yeridir. NIST’in angajman kuralı da neye izin olduğunu baştan ister.
Açılacaksa ne kilitlenir
Hedef grup yazılır. “Herkes” bir grup değildir. İletinin konusu, gönderen adres ve durdurma yolu durur. Çalışanın kişisel posta kutusu, formda yoksa kullanılmaz. Toplanan yanıt, raporda maskelenir. İsim listesi teknik raporun eki diye herkese açılmaz.
Fiziksel giriş, ofis, dolap ve kart, aynı cümleyle açılmaz. O da ayrı satırdır. Kalıcılık ve üretim verisini dışarı çıkarmak yine kapalı kalır. Onlar başka yasaklardır.
Kapalıysa rapora ne yazılır
Sosyal mühendislik denenmedi diye “personel bilinçli” yazılmaz. Uygulanamaz veya açık kalan, neyin istenmediğine göre seçilir. Denenmeyen şey elendi değildir. Elendi, denenip kanıtıyla kapanan yoldur.
Sistem tarafındaki iş süreçte anlatılır. İzin kâğıdının neden susturmadığı izin yazısında durur. Kapsamı formdan kurun.