Skal testeren undtages i firewall og overvågning?

En undtagelse for testeren i firewall eller overvågning ændrer, hvad testen faktisk undersøger. Valget hviler på, om I vil vide, hvad en angriber møder udefra med alle beskyttelseslag, eller hvordan selve systemet bag beskyttelsen er bygget.

De to spørgsmål er lige legitime, men svarene er forskellige. Med en undtagelse kan testeren bruge tiden på kundeportalens funktioner og roller i stedet for at kæmpe med en spærring. Uden en undtagelse viser testen, hvad den samlede opsætning tåler, men kan nå mindre af systemet bagved. Valget skal derfor træffes ud fra formålet og skrives tydeligt i aftalen.

Hvad en undtagelse er

En undtagelse, ofte kaldet whitelisting, betyder, at bestemte beskyttelseslag behandler testerens trafik anderledes end andres. Det kan være en firewall, en beskyttelse foran webapplikationen eller en overvågning, der normalt ville blokere eller eskalere. Undtagelsen gælder typisk kun testerens kendte afsendere og kun i testperioden.

Undtagelsen er ikke det samme som at orientere overvågningen. En orienteret SOC kan stadig se og registrere aktiviteten, mens en undtagelse kan betyde, at bestemte reaktioner slet ikke sker. Det er to beslutninger, der hænger sammen, men skal træffes hver for sig. → Skal overvågningen eller SOC’en have besked?

Hvorfor det kan give mening at undtage

Beskyttelseslag kan skifte. En regel kan blive ændret, en leverandør kan blive skiftet, eller en ny funktion kan blive lagt uden for beskyttelsen. Hvis systemet bagved har svagheder, står de tilbage, når laget ikke længere virker som forventet. En test med undtagelse giver et billede af systemets egen robusthed.

En undtagelse kan også gøre testen mere effektiv. Hvis testeren bliver blokeret efter kort tid, bruges en stor del af den aftalte tid på at vente eller arbejde uden om spærringer. Det giver en rapport, der dækker mindre af kundeportalen eller webshoppen, end I betalte for.

Ved test med login og forskellige roller er undtagelsen ofte særlig relevant, fordi formålet er at undersøge funktioner og adskillelse mellem brugere, ikke beskyttelsen foran. → Test med og uden login

Hvorfor det kan give mening ikke at undtage

Uden undtagelse viser testen, hvad en ekstern part møder i praksis. Det kan være netop det, I vil vide, hvis spørgsmålet er, om den samlede opsætning beskytter webshoppen tilstrækkeligt. En test, der kun ser systemet bag beskyttelsen, siger mindre om det spørgsmål.

En test uden undtagelse kan også vise, om beskyttelseslagene er sat op som forventet. Hvis en regel ikke virker, eller hvis et system ved en fejl ligger uden for beskyttelsen, kan det komme frem. Det er en anden slags viden end fund i selve applikationen. Den kan være nyttig for den, der administrerer beskyttelsen, selv om den ikke siger meget om kundeportalens egne funktioner.

En mulighed er at kombinere: en kort del uden undtagelse for at se, hvad beskyttelsen gør, og derefter en længere del med undtagelse for at undersøge systemet i dybden. Det kræver, at aftalen beskriver, hvornår der skiftes. → Ekstern eller intern penetrationstest

Undtagelsen skal være smal og midlertidig

Hvis I vælger en undtagelse, bør den være så smal som muligt. Den skal kun gælde de afsendere, testeren har oplyst, de systemer der er i opgaven, og den periode der er aftalt. En bred undtagelse, der åbner for mere end nødvendigt, kan i sig selv blive en svaghed.

Det skal også være aftalt, hvem der lægger undtagelsen ind, og hvem der fjerner den igen. Ofte er det driftsleverandøren eller den, der administrerer firewall og overvågning. Skriv det ind i planen sammen med en dato for fjernelse. → Driftsleverandøren og testen

En undtagelse, der bliver glemt efter testen, kan blive stående længe, fordi ingen senere husker, hvorfor den blev lagt ind. Kontrollér derfor, at den er fjernet, som en del af afslutningen, på samme måde som testkonti lukkes. → Oprydning efter pentest

Rapporten skal sige, hvad der var undtaget

En rapport fra en test med undtagelse beskriver systemet uden de beskyttelseslag, der var slået fra for testeren. Det skal fremgå tydeligt, så læseren ikke tror, at fundene nødvendigvis kan udnyttes på samme måde af alle udefra. Omvendt skal læseren heller ikke afvise fundene med henvisning til, at beskyttelsen ville have stoppet dem.

Hvis testen foregik uden undtagelse, bør rapporten tilsvarende nævne, hvis testeren blev blokeret, og hvilke dele der derfor ikke blev undersøgt. Ellers kan en rapport med få fund se mere positiv ud, end den er. → Sådan læser I en pentestrapport

Hvem beslutter undtagelsen?

Beslutningen om en undtagelse bør træffes af den, der ejer opgaven, efter samråd med den, der er ansvarlig for beskyttelseslagene. Det er ikke testerens beslutning alene, og det er heller ikke en ren teknisk indstilling, som driftsleverandøren kan vælge på egen hånd. Undtagelsen påvirker både sikkerheden i testperioden og værdien af rapporten.

Testeren kan rådgive om, hvad der giver mest ud af den aftalte tid, og bør oplyse, hvilke afsendere der vil blive brugt. Driftsleverandøren kan vurdere, hvad en undtagelse kræver, og om den kan begrænses til det nødvendige. Den endelige beslutning skrives ind i opgavebeskrivelsen eller den aftale, der gælder for testen.

Hvis behovet ændrer sig undervejs, for eksempel fordi testeren bliver blokeret mere end forventet, skal en ny undtagelse godkendes på samme måde. En hurtig ændring aftalt pr. telefon bør bekræftes skriftligt bagefter. → Ændringer i opgaven undervejs

Det skal I lade være med

At undtage uden at kende formålet · undtagelsen ændrer, hvad testen svarer på.
At lave en bred undtagelse · den skal kun gælde testerens afsendere, systemerne i opgaven og perioden.
At glemme at fjerne undtagelsen · en glemt åbning kan blive en ny svaghed.
At afvise fund, fordi beskyttelsen var slået fra · beskyttelseslag kan ændre sig over tid.
At læse en rapport med få fund uden at tjekke blokeringer · testeren kan have nået mindre end planlagt.
At blande undtagelse og orientering sammen · det er to beslutninger med hver sin betydning.

Hvad kan og ikke kan konkluderes

En test med undtagelse kan dokumentere svagheder i selve systemet. Den kan ikke alene vise, hvor godt de omgivende beskyttelseslag virker. En test uden undtagelse kan belyse den samlede opsætning, men siger mindre om systemets egen robusthed, hvis testeren blev standset tidligt.

Hvilken af de to der er mest relevant, afhænger af den beslutning, resultatet skal understøtte. Det afgørende er, at valget er kendt, når rapporten læses.