Ein Tester unter 10.10.0.10 erhält den Auftrag, das interne Netzwerk CORP.LOCAL zu überprüfen. Ohne festgelegte Grenzen könnte eine Erkundungsanfrage einen nicht vorgesehenen Host erreichen, eine aggressive Überprüfung einen Labordienst destabilisieren, und Ergebnisse ließen sich nicht rechtfertigen, da niemand nachweisen könnte, welche Systeme autorisiert waren. In diesem Kurs beschränkt sich die Autorisierung auf das isolierte Labornetzwerk 10.10.0.0/24: DC01 unter 10.10.0.5, SRV01 unter 10.10.0.20 und WS01 unter 10.10.0.30. Der Zugriff auf das Internet liegt außerhalb des festgelegten Rahmens. Die Arbeiten beschränken sich auf Systeme, die uns gehören oder deren Überprüfung vertraglich vereinbart wurde; dabei gelten die festgelegten Einsatzregeln sowie die einschlägigen Gesetze, einschließlich des Computer Fraud and Abuse Act in den USA und des Computer Misuse Act 1990 im Vereinigten Königreich.
Die erste praktische Entscheidung ist daher einfach: Der Datenverkehr von Kali darf 10.10.0.5, 10.10.0.20 und 10.10.0.30 erreichen, jedoch keine Ziele außerhalb der Laborgrenzen. Diese Einschränkung verleiht späteren Beweisen Aussagekraft, da jeder beobachtete Dienst, jedes Kontoverhalten und jede Konfiguration einer bekannten Zielmenge zugeordnet werden kann. Legen wir also den autorisierten Bereich um die vier Laborsysteme fest:
Dieses Diagramm veranschaulicht, warum eine IP-Adresse allein noch keine Berechtigung darstellt. Das Subnetz und die benannten Hosts legen fest, wo Prüfaktivitäten stattfinden dürfen, während die Beschränkung auf den Offline-Betrieb (kein Internetzugriff) verhindert, dass sich eine Laborübung zu einem Angriff auf ein unkontrolliertes System entwickelt. [Quellen][/Quellen]
Sobald der Zielbereich festgelegt ist, bilden die Rules of Engagement (Verhaltensregeln) die schriftlichen Vorgaben, die bestimmen, welche Aktivitäten zulässig sind, wann sie durchgeführt werden dürfen, wie mit Beweismaterial umgegangen wird und wann die Arbeit eingestellt werden muss. Ein Dokument mit diesen Regeln ist kein bloßer bürokratischer Ballast. Jede einzelne Bestimmung beeinflusst, welche Aussagen im Abschlussbericht mit Sicherheit getroffen werden können und welche Schritte für einen Prüfer reproduzierbar sind.
Für CORP.LOCAL müssen die Regeln vor Beginn der Aufklärungsphase fünf Punkte festlegen:
10.10.0.0/24 sowie die freigegebenen Hosts DC01, SRV01 und WS01.Die Zielliste bildet den Rahmen für die Bestandsaufnahme der Dienste. Sicherheitsvorgaben bestimmen die Art und Weise, wie exponierte Dienste geprüft werden. Regeln zur Beweissicherung schaffen die Grundlage für die Dokumentation der Ergebnisse, und Abbruchbedingungen stellen sicher, dass technische Resultate nicht über die Systemsicherheit gestellt werden. Der folgende Vergleich verknüpft jede Bestimmung mit einem konkreten Wert für CORP.LOCAL: