Как определить объём письменного разрешения на пентест и что должно быть в документе?

Обязательно включите в документ пункт об уведомлении об исходных IP. Должно быть прописано, с каких статических внешних IP-адресов будет сканировать команда тестировщиков. Так вы сможете отличить тест от реальной кибератаки на своём веб-application firewall и легко отфильтровать тестовую активность в логах, если понадобится форензика.

Положения об ответственности и конфиденциальности в договоре должны быть составлены в рамках статей Уголовного кодекса Турции о компьютерных преступлениях и Закона о защите персональных данных. Протокол мгновенного уведомления и безопасного удаления, применяемый в случае доступа к данным клиентов или чувствительным финансовым записям во время теста, должен быть определён юридически обязывающим образом.

Не открывайте боевую базу данных для теста напрямую. Подготовьте тестовую среду, являющуюся точной копией продакшна, анонимизируйте чувствительные данные клиентов и проводите тест там. Для банков важны уязвимости в архитектуре и коде; рисковать таблицей клиентов в боевой среде совершенно незачем.

Даже если вы подготовите документ об объёме, многие фирмы на рынке просто запускают стандартные автоматические сканеры уязвимостей и на этом останавливаются. Если не прописать в договоре ограничение «скорость запросов автоматических сканеров не может превышать столько-то запросов в секунду», ваш API-шлюз зависнет, а клиенты получат ошибки.

В прошлом году на похожем тесте мы разрешили окно с 02:00 до 05:00. Когда тестирующий специалист случайно загрузил прод-очередь вместо staging, наш сервер сообщений упал на 40 минут. К счастью, был пункт об аварийной остановке, за 3 минуты мы прервали тест. Не будь этого пункта, мы бы не успели к утренней смене.

edit: исправил несколько опечаток.

Тест будет чёрным ящиком или белым? Если команде будут переданы исходный код или документация API, пункты документа о защите интеллектуальной собственности и уничтожении кода по завершении теста становятся куда более критичными.

Без письменного разрешения не позволяйте пинговать даже один порт; преступление несанкционированного доступа может напрямую привести обе стороны к прокурору.

Вы правы, я сам проходил через это. Главное не цифра, а то, на основе чего она получена.

Исправьте, если я ошибаюсь.

Попробую. Прежде чем принимать решение, посмотрите, какие данные у вас есть.

Любой пункт, не зафиксированный письменно, в будущем обе стороны будут помнить по-разному.

вы правы.. но если включена двухфакторная аутентификация, украденный праоль бесполезен.

доступность резервной копии в той же сети и под той же учетной записью делает ее частью цели атаки. если напишете результат здесь, это поможет и другим.

Появились три разных мнения, они дополняют друг друга... короче главное не цифра, а то на основе чего она получена.

Если напишете результат здесь, это поможет и другим.

Хорошо, что вы создали эту тему.

Согласен.

Позвольте подвести итог сказанному выше. Ответ сильно зависит от отрасли, универсального правила нет.

Если делаете впервые, начните с малого, масштабирование потом. Интересно, есть ли те, кто делает иначе.

Взял на заметку, спасибо. Если на один вопрос вы получаете три разных ответа вопрос задан неправильно.

Главное не цифра, а то, на основе чего она получена.

Спасибо, что написали об этом, это действительно так. Меры, принятые без инвентаризации, оставляют открытыми двери, о которых вы не знаете.

Это мое мнение, не утверждаю, что оно единственно верное.

не знал об этом. главное не цифра, а то, на основе чего она получена.

Я бы не торопился... Все кто торопится с письменное разрешение на пентест спотыкаются на одном и том же.

Пишите, если есть вопросы отвечу по мере возможности.