Kritisk fund midt i testen: hvad sker der, og hvem beslutter?

Nogle forhold er så alvorlige, at det ikke giver mening at vente på den samlede rapport, før virksomheden hører om dem. Hvad der sker, når testeren finder sådan et forhold, afhænger af én ting: om parterne før start har aftalt, hvad der skal meldes med det samme, til hvem, hvordan, og hvem der derefter beslutter.

Med en aftale på plads er forløbet roligt. Testeren melder fundet ad den aftalte kanal, en navngiven person hos virksomheden vurderer det, og virksomheden beslutter, om der skal rettes straks, afbødes midlertidigt eller ventes til rapporten. Uden en aftale bliver det op til den enkelte testers skøn, og meldingen kan ende hos en person, der hverken kan vurdere eller handle på den.

Hvorfor rapporten ikke altid er den rette kanal

Rapporten samler resultaterne, sætter dem i sammenhæng og giver anbefalinger. Det tager tid, og det er en fordel for kvaliteten. Men tiden mellem opdagelse og rapport er også tid, hvor et alvorligt forhold står åbent.

Forestil jer, at testen af kundeportalen viser, at én kundes oplysninger kan ses af en anden kunde. Det er et forhold, som virksomheden sandsynligvis vil kende til samme dag, også selv om resten af testen fortsætter. En separat melding gør det muligt at handle uden at vente på den samlede aflevering.

Hvad der bør udløse en melding

Aftal kriterierne før start, og skriv dem ned. Kriterierne kan formuleres i forretningssprog frem for teknik, fordi det er virksomheden, der skal kunne genkende dem. Eksempler:

Adgang til følsomme oplysninger · kundedata, personoplysninger eller forretningshemmeligheder kan nås af en uvedkommende.
Bred adgang med lille indsats · et forhold giver adgang langt ud over den rolle, testen begyndte fra.
Synlighed fra internettet · forholdet kan nås af enhver uden login eller særlig forudsætning.
Risiko for driften · forholdet kan føre til, at ERP-systemet eller webshoppen sættes ud af drift.

En alvorlighedsscore kan indgå i vurderingen. FIRST beskriver i CVSS-specifikationen, hvordan alvorligheden af en sårbarhed kan udtrykkes, men en score alene tager ikke stilling til jeres forretning. Derfor bør kriterierne også pege på de systemer og data, der betyder mest for netop jer. → Kritiske fund i rapporten

Tegn på, at nogen allerede har været inde, er et andet forhold end et alvorligt fund. Det kræver en anden reaktion og bør have sin egen aftale. → Tegn på et rigtigt angreb under testen

Meldingen: til hvem og hvordan?

Meldingen skal gå til en person, der kan vurdere den, og som har mandat til at sætte noget i gang. Udpeg mindst én modtager og en stedfortræder. Hvis testen foregår uden for arbejdstid, skal modtageren kunne træffes på de tidspunkter. Skriv også, hvad testeren skal gøre, hvis hverken modtager eller stedfortræder svarer. Skal arbejdet med det berørte system sættes på pause, eller skal det fortsætte, mens meldingen venter på svar?

Kanalen betyder også noget. En detaljeret beskrivelse af et alvorligt forhold er følsom information og bør ikke sendes som almindelig mail til en fællesadresse. Aftal, hvordan detaljerne overføres sikkert, og om første kontakt skal være et opkald, der blot varsler, at der er noget at drøfte.

Aftal endelig, hvad meldingen skal indeholde: hvilket system det drejer sig om, hvad forholdet giver mulighed for, og hvad testeren anbefaler som første skridt. Meldingen er ikke rapporten, men den skal være tilstrækkelig til, at virksomheden kan træffe en beslutning. Rammerne for varsling hører hjemme i → Kontrakten om penetrationstesten

Beslutningen: ret nu, afbød eller vent

Det er virksomheden, der beslutter, hvad der skal ske. Testeren kan anbefale, men ejer ikke systemet. Der er typisk tre muligheder.

Ret nu · systemejeren eller leverandøren retter forholdet med det samme.
Afbød midlertidigt · en funktion lukkes eller begrænses, indtil en egentlig rettelse er klar.
Vent til rapporten · forholdet vurderes som alvorligt, men ikke så presserende, at det skal håndteres før den samlede aflevering.

Valget afhænger af, hvad forholdet kan føre til, hvor eksponeret systemet er, og hvad en hurtig rettelse kan forstyrre. En hastig ændring i webshoppen kan introducere nye fejl. Den afvejning hører til hos systemejeren, ofte sammen med driftsleverandøren eller softwareleverandøren. → Hvem retter fundene?

Hvad en straks-rettelse betyder for testen

En rettelse midt i testen ændrer det system, der testes. Det kan være den rigtige beslutning, men konsekvensen bør være synlig. Testeren skal vide, at noget er ændret, ellers kan senere resultater blive tolket på et forkert grundlag. → At ændre systemet under testen

Rapporten bør stadig omtale fundet. Det dokumenterer, at forholdet var til stede, hvornår det blev meldt, og hvad virksomheden gjorde. Om rettelsen er efterprøvet, er et særskilt spørgsmål, som kan indgå i testen, hvis tiden tillader det, eller håndteres ved en senere retest. → Retest efter penetrationstest

Skal testen fortsætte?

Et kritisk fund rejser også spørgsmålet, om resten af testen skal fortsætte som planlagt. Ofte er svaret ja. Resten af kundeportalen kan stadig undersøges, og et enkelt alvorligt forhold siger ikke noget om de øvrige funktioner.

Der kan dog være grunde til at holde pause. Hvis fundet giver adgang langt ud over det aftalte udgangspunkt, kan videre arbejde fra den position bevæge sig uden for scope. Hvis systemet skal lukkes ned for at blive rettet, kan der ikke testes, mens det står stille. Beslut i så fald, om testperioden forlænges, om den berørte del udgår, eller om den testes senere, og notér beslutningen, så den kan genfindes i rapportens afsnit om forudsætninger.

Det skal I lade være med

At starte uden kriterier for varsling · Så afhænger meldingen af testerens skøn alene.
At pege på en fællesadresse · Meldingen skal nå en person med mandat.
At sende detaljer ukrypteret · Beskrivelsen af et alvorligt forhold er i sig selv følsom.
At rette i stilhed · Testeren skal vide, når systemet er ændret undervejs.
At lade fundet forsvinde fra rapporten · Et rettet fund er stadig en del af resultatet.
At blande fund og hændelse sammen · Tegn på et reelt angreb kræver en anden reaktion.

Hvad kan og ikke kan konkluderes

En melding om et kritisk fund viser, at et alvorligt forhold var til stede under testen. En hurtig rettelse viser, at virksomheden reagerede. Ingen af delene dokumenterer, at forholdet er væk, før rettelsen er efterprøvet, og de siger intet om de dele af systemet, som testen endnu ikke har nået.