Skip to main content

Ενότητα 2 — Σχεδιασμός και Rules of Engagement

Ξέρετε να επιτίθεστε σε ένα μηχάνημα στο εργαστήριό σας. Αυτή η ενότητα σας μαθαίνει να κάνετε το ίδιο πράγμα στην πραγματική υποδομή ενός πελάτη χωρίς να θέσετε σε κίνδυνο την καριέρα σας, αυτή του πελάτη, ή την ελευθερία και των δύο. Όλα παίζονται σε ένα έγγραφο — το RoE — που οι περισσότεροι αρχάριοι υπογράφουν χωρίς να το διαβάσουν, εις βάρος τους.

Τι θα ξέρετε να κάνετε στο τέλος της ενότητας​

  • Να διακρίνετε τα πέντε συμβατικά έγγραφα μιας αποστολής pentest: NDA, SOW, RoE, επιστολή εξουσιοδότησης, συμφωνία πλαίσιο.
  • Να συντάσσετε ένα πεδίο εφαρμογής που αντέχει μπροστά σε δικηγόρο και μπροστά στην τεχνική σας ομάδα — περιοχές CIDR, υποτομείς, λογαριασμοί δοκιμής, ρητές εξαιρέσεις.
  • Να οριοθετείτε ένα ηθικό phishing χωρίς ποτέ να κλέψετε πραγματικά ένα διαπιστευτήριο, σεβόμενοι τον Νόμο 25, τον GDPR και τον RSS.
  • Να προβλέπετε τις κρίσιμες περιπτώσεις: ανακάλυψη προϋπάρχουσας εισβολής, διαρροή προσωπικών δεδομένων, βλάβη που προκλήθηκε από σάρωση.
  • Να απορρίπτετε καθαρά μια κακώς οριοθετημένη αποστολή πριν την υπογράψετε.

Τα τέσσερα μαθήματα της ενότητας​

  1. 2.1 — Έννοιες — τα πέντε συμβατικά κομμάτια, οι οκτώ ενότητες ενός ελάχιστου RoE, το λεξιλόγιο (CIDR, DPA, DFIR, scope creep), τα red flags μιας αποστολής προς απόρριψη. Πέντε ενότητες επεξήγησης σε ακορντεόν αναπτύσσουν κάθε παγιδευτική έννοια.
  2. 2.2 — Καθοδηγούμενη επίδειξη — παίρνουμε μια ΜΜΕ e-commerce, συντάσσουμε ένα πλήρες RoE γραμμή προς γραμμή με τα σχόλια ενός έμπειρου pentester. Τρεις διακριτές ζώνες, ηθικό phishing συμπεριλαμβανόμενο, κρίσιμες διαδικασίες γραμμένες εκ των προτέρων.
  3. 2.3 — Πρακτικό εργαστήριο — η σειρά σας. Ένα ιατρικό ιατρείο, οκτώ παγίδες προς εντοπισμό, ένα RoE και μια σημείωση διαπραγμάτευσης προς σύνταξη αυτόνομα. Παρέχεται πλέγμα αυτοαξιολόγησης.
  4. 2.4 — Κουίζ ενότητας — πέντε ερωτήσεις για να επαληθεύσετε ότι θα ξέρετε να απορρίψετε μια κακώς οριοθετημένη αποστολή πριν κερδίσετε μια δίκη εξαιτίας της.

Τρεις ιδέες να πάρετε μαζί σας από τώρα​

Ένα pentest χωρίς γραπτή εξουσιοδότηση είναι πληροφορική εισβολή. Όχι «εξαρτάται». Όχι «αν προσέχω». Αδίκημα σε όλες τις ανεπτυγμένες δικαιοδοσίες. Το χαρτί υπάρχει για αυτόν και μόνο τον λόγο: να μετατρέψει την επίθεσή σας σε παραγγελθείσα υπηρεσία.

Ο πραγματικός αφεντικό ενός pentest είναι ο νομικός. Ό,τι δεν είναι γραμμένο, δεν υπάρχει. Μια προφορική συμφωνία δεν επιβιώνει ενός περιστατικού, ούτε ένα αυπόγραφο email. Κάθε ερώτηση που τίθεται πριν την υπογραφή αποτρέπει δέκα προβλήματα μετά.

Ο πελάτης μπορεί να σας εξουσιοδοτήσει να επιτεθείτε μόνο σε ό,τι του ανήκει. Ένας υποτομέας που δείχνει στο Google Workspace, ένα VPS στην OVH, ένα SaaS Shopify — δεν έχετε κανένα δικαίωμα εκεί, όσο πεπεισμένος κι αν είναι ο πελάτης. Το μάθημα 2.2 δείχνει πώς να χαρτογραφήσετε αυτά τα σύνορα στην πράξη.

Επόμενο βήμα​

Το μάθημα 2.1 — Έννοιες ξεκινά τη θεωρία της οριοθέτησης. Απαιτεί ανάγνωση, όχι εντολές. Είναι φυσιολογικό: αυτή την εβδομάδα, δεν εκτελούμε τίποτα. Συντάσσουμε.