Definire il perimetro di un penetration test: cosa dentro, cosa fuori

Il perimetro è l'accordo scritto su ciò che si può testare. La maggior parte dei problemi nel giorno del test nasce da un perimetro vago.

Cosa scrivere

• Obiettivi: applicazioni, API, indirizzi e ambienti inclusi, indicati per nome.
• Esclusioni: sistemi di proprietà di altri, sistemi fragili, tutto ciò che non puoi rischiare.
• Finestra: date, orari e indirizzi di provenienza dei tester.
• Regole: se denial of service, ingegneria sociale o accesso fisico sono ammessi. Di norma no.
• Referenti: chi può dire "fermi" e chi risponde durante il test.

Terze parti

Se il tuo sistema gira sulla piattaforma di un fornitore o richiama un suo servizio, verifica le loro regole sui test. La tua autorizzazione non copre ciò che non possiedi.

Un documento vivo

Se il tester trova qualcosa fuori perimetro, deve chiedere prima di toccarlo. Una breve modifica scritta richiede minuti ed evita dubbi dopo.