BlogBeveiliging
Hoe weet je of een securityfix werkt?
Zo controleer je een securityfix én of normaal gebruik blijft werken.
Een gewijzigde regel code is een begin, maar bewijst nog niet dat een beveiligingsprobleem is opgelost. Een goede hertest controleert het oorspronkelijke probleem, normaal gebruik en de specifieke versie die in de bedoelde omgeving draait.
Begin bij de bevinding
Leg vast welke functie is geraakt, wat verwacht en waargenomen werd, onder welke voorwaarden je het probleem kunt reproduceren en welke versie of configuratie is getest. Vraag de onderzoeker of systeemeigenaar om uitleg als het rapport daarvoor te weinig informatie bevat. Zet geen wachtwoorden of gevoelige klantgegevens in een ticket.
Spreek een veilige testomgeving, accounts en toegestane handelingen af. Een resultaat op staging is nuttig, maar zegt op zichzelf niet welke versie in productie draait.
Controleer de oplossing én normaal gebruik
Herhaal na de aanpassing de oorspronkelijke reproductie onder de afgesproken voorwaarden. Controleer daarnaast of een bevoegde gebruiker de bedoelde handeling nog kan uitvoeren. Blokkeert een rechtencontrole bijvoorbeeld toegang tot een document van een ander, controleer dan ook of de eigenaar het eigen document nog kan openen.
Voeg waar mogelijk een regressietest toe en kijk naar relevante rollen, toegangspunten en foutgevallen. De tests moeten passen bij de echte toegangsregels; betrek de applicatie-eigenaar als die regels onduidelijk zijn.
Leg vast wat is gecontroleerd
Noteer de geteste build, omgeving, resultaten en resterende beperkingen. Laat waar passend iemand anders dan de maker van de oplossing de onderbouwing beoordelen. Is controle in productie nodig, bevestig dan de uitgerolde versie en vraag toestemming voor de controles. Een geslaagde hertest geldt voor het afgesproken scenario, niet voor de veiligheid van de hele applicatie.
Bij herstel van kwetsbaarheden helpen we een bevinding te vertalen naar een afgebakende aanpassing en controle.
