Un evaluador en 10.10.0.10 recibe una solicitud breve para evaluar la red interna CORP.LOCAL. Sin límites definidos, una solicitud de descubrimiento podría llegar a un host no previsto, una comprobación agresiva podría desestabilizar un servicio del laboratorio y cualquier hallazgo sería indefendible, ya que no habría forma de demostrar qué sistemas estaban autorizados. En este curso, la autorización se limita al laboratorio aislado 10.10.0.0/24: DC01 en 10.10.0.5, SRV01 en 10.10.0.20 y WS01 en 10.10.0.30. El acceso a Internet queda fuera del alcance. El trabajo se limita a sistemas de nuestra propiedad o cuya evaluación se ha acordado por escrito, siempre bajo las reglas de actuación vigentes y la legislación aplicable, incluidas la Computer Fraud and Abuse Act de Estados Unidos y la Computer Misuse Act 1990 del Reino Unido.
Por tanto, la primera decisión práctica es sencilla. El tráfico proveniente de Kali puede llegar a 10.10.0.5, 10.10.0.20 y 10.10.0.30, pero no debe alcanzar ningún elemento situado más allá de los límites del laboratorio. Esta restricción dota de sentido a las pruebas obtenidas posteriormente, ya que cada servicio observado, comportamiento de cuenta y configuración pertenece a un conjunto de objetivos conocido. Definamos el perímetro autorizado que abarca los cuatro sistemas del laboratorio:
Este diagrama ilustra por qué una dirección IP por sí sola no constituye un permiso. La subred y los hosts específicos definen dónde puede llevarse a cabo la actividad de evaluación, mientras que la restricción de no acceso a Internet evita que un ejercicio de laboratorio se convierta en una acción contra un sistema no controlado. [fuentes][/fuentes]
Una vez establecido el alcance objetivo, las reglas de compromiso (rules of engagement) constituyen las restricciones operativas documentadas que determinan qué actividades están permitidas, cuándo pueden realizarse, cómo se gestionan las evidencias y cuándo debe detenerse el trabajo. Un documento de reglas de compromiso no es mero relleno administrativo; cada cláusula modifica lo que podemos afirmar con seguridad en el informe final y lo que un revisor puede reproducir.
Para CORP.LOCAL, las reglas deben definir cinco aspectos antes de iniciar la fase de reconocimiento:
10.10.0.0/24 y los hosts autorizados: DC01, SRV01 y WS01.La lista de objetivos delimita el inventario de servicios. Los límites de seguridad condicionan la forma en que evaluamos los servicios expuestos. Las reglas sobre evidencias generan los elementos que sustentan el registro de hallazgos, y las condiciones de detención evitan que un resultado técnico prevalezca sobre la seguridad del sistema. La siguiente comparativa vincula cada cláusula con un valor concreto de CORP.LOCAL: