Um testador no endereço 10.10.0.10 recebe uma solicitação para avaliar a rede interna CORP.LOCAL. Sem limites definidos, uma solicitação de descoberta pode atingir um host não pretendido, uma verificação agressiva pode desestabilizar um serviço do laboratório e uma descoberta não pode ser justificada, pois ninguém consegue demonstrar quais sistemas estavam autorizados. Neste curso, a autorização limita-se ao laboratório isolado 10.10.0.0/24: DC01 em 10.10.0.5, SRV01 em 10.10.0.20 e WS01 em 10.10.0.30. O acesso à Internet está fora do escopo. O trabalho restringe-se a sistemas de nossa propriedade ou cuja testagem foi contratada por escrito, em conformidade com as regras de engajamento e a legislação aplicável, incluindo o Computer Fraud and Abuse Act nos Estados Unidos e o Computer Misuse Act 1990 no Reino Unido.
Portanto, a primeira decisão prática é simples. O tráfego proveniente do Kali pode alcançar 10.10.0.5, 10.10.0.20 e 10.10.0.30, mas não deve atingir nada além dos limites do laboratório. Essa restrição confere significado às evidências obtidas posteriormente, uma vez que cada serviço observado, comportamento de conta e configuração pertence a um conjunto de alvos conhecido. Vamos mapear o limite autorizado em torno dos quatro sistemas do laboratório:
Este diagrama mostra por que um endereço IP, por si só, não constitui permissão. A sub-rede e os hosts nomeados definem onde a atividade de avaliação pode ocorrer, enquanto a restrição de ausência de internet impede que um exercício de laboratório se transforme em uma ação contra um sistema não controlado. [fontes][/fontes]
Com os limites do alvo definidos, as regras de engajamento são as restrições operacionais documentadas que determinam quais atividades são permitidas, quando podem ocorrer, como as evidências são tratadas e quando o trabalho deve ser interrompido. Um documento de regras de engajamento não é apenas formalidade administrativa. Cada cláusula altera o que podemos afirmar com segurança no relatório final e o que um revisor pode reproduzir.
Para o ambiente CORP.LOCAL, as regras devem estabelecer cinco decisões antes do início do reconhecimento:
10.10.0.0/24 e os hosts aprovados: DC01, SRV01 e WS01.A lista de alvos define os limites para o inventário de serviços. Os limites de segurança moldam a forma como avaliamos serviços expostos. As regras de evidência geram os artefatos que embasam a lista de descobertas, e as condições de parada impedem que um resultado técnico se sobreponha à segurança do sistema. A comparação abaixo associa cada cláusula a um valor concreto do CORP.LOCAL: