Scope en toestemming

Onderdeel vanJe aanvalsoppervlak in kaart brengen en testen

Op deze pagina lees je hoe je ATLAS vertelt wat het voor een organisatie mag onderzoeken, en hoe je daar toestemming voor geeft. Je voegt domeinen, IP-adressen en ranges toe, toont aan dat de organisatie ze bezit, legt het ondertekende scanmandaat vast en geeft, alleen als een opdracht daarom vraagt, toestemming voor ingrijpend testen.

Dit staat allemaal op één pagina: Settings › Scope & consent. De kop luidt "What Soveryne may look at for <organisation>, and how."

De pagina Scope & consent met vier geverifieerde domeinen en één niet-geverifieerd domein met de opties om eigendom aan te tonen

Wie wat kan doen

Taak	user	admin
Een domein, IP-adres of range toevoegen	Ja	Ja
Eigendom verifiëren (Verify, Check again)	Ja	Ja
Verifiëren met een launch code	Ja	Ja
Een launch code genereren	Nee	Ja
Een verklaring (attestation) vastleggen	Nee	Ja
Het scanmandaat vastleggen of intrekken	Ja	Ja
Een toestemming voor ingrijpend testen vastleggen of intrekken	Nee	Ja

Hoe de drie voorwaarden werken

ATLAS stuurt niets naar de systemen van een organisatie totdat aan drie voorwaarden is voldaan:

Er is een ondertekend mandaat vastgelegd, met de naam van de persoon die het heeft ondertekend.

Het eigendom is aangetoond voor het domein of adres dat gescand zou worden.

Het adres is openbaar, dat wil zeggen bereikbaar via internet. Private, interne adressen worden alleen gescand als Soveryne een interne opdracht voor de organisatie heeft vastgelegd.

Passieve verkenning werkt anders. Die leest openbare gegevens, zoals certificate-transparency-logs, DNS- en domeinregisters, en stuurt niets naar de organisatie. Daarvoor is alleen een domein binnen de scope nodig, geverifieerd of niet.

De pagina Scans toont in één oogopslag de status van elke voorwaarde. Zie Scans.

Een domein, IP-adres of range toevoegen

Iedereen met de rol admin of user kan items aan de scope toevoegen.

Open Settings.

Typ onder Domains & addresses in scope het item in het vak onderaan. Dit accepteert:

een domein, bijvoorbeeld example.nl;

één IPv4- of IPv6-adres;

een range in CIDR-notatie, bijvoorbeeld een /28.

Kies Add.

ATLAS bevestigt: "<item> added to scope. Verify ownership before scanning it." Het item verschijnt in de lijst met de status Unverified.

De lijst toont eerst domeinen, dan adressen, dan ranges. Elke rij toont:

de naam;

de zone: INTERNET-FACING, THIRD-PARTY HOSTED, UNMANAGED · SHADOW of INTERNAL · VIA VPN voor een domein, of IP ADDRESS of IP RANGE;

de status, bijvoorbeeld Verified by DNS, Verified by launch code, Attested by gevolgd door een persoon, of Unverified. Een domein dat ATLAS zelf heeft gevonden, in plaats van een domein dat jij hebt toegevoegd, toont Unverified · discovered.

Belangrijk

Eén scope-item mag hooguit 256 adressen omvatten. Een grotere range wordt geweigerd met een melding als "<range> holds 1,024 addresses; one scope item may name at most 256. Name the /24s actually in use instead." Voeg elk blok dat echt in gebruik is als apart item toe.

Eigendom van een domein aantonen

Voordat ATLAS iets onder een domein scant, moet de organisatie aantonen dat ze dat domein beheert. Het gebruikelijke bewijs is een DNS-TXT-record.

Open Settings en zoek het domein onder Domains & addresses in scope. Bij niet-geverifieerde domeinen staan de instructies direct onder de rij.

Lees de instructies: "To prove <organisation> controls <domain>, add this TXT record at its DNS provider, then press Verify. Nothing is scanned under this domain until ownership is proved." Luiden de instructies in plaats daarvan "Press Verify to issue the TXT record that proves ownership of <domain>", kies dan eerst Verify. ATLAS toont daarna het record.

Kopieer het record. Gebruik Copy naast elke waarde: | Type | Naam | Waarde | |---|---|---| | TXT | het domein zelf, of @ als het de root van je DNS-zone is | atlas-verification=<token shown in ATLAS> |

Vraag je DNS-beheerder om het record bij je DNS-provider te publiceren.

Kies terug in ATLAS Verify. Terwijl ATLAS zoekt, toont de rij "Checking…".

Als ATLAS het record vindt, bevestigt het "<domain> verified." en toont de rij Verified by DNS.

Vindt ATLAS het record niet, dan meldt het "<domain> is not proved yet. What to publish is shown under it in Scope & consent." Onder de rij staat: "Last checked <time> ago: not proved yet. No matching TXT record was found on <domain>. DNS changes can take a few minutes to become visible." De knop heet nu Check again. Wacht een paar minuten en kies de knop.

Bekijk: waar je de DNS-instructies voor een domein vindt (ongeveer 1 min)

Een domein verifiëren met een launch code

Een launch code is een andere manier om een domein te verifiëren. Een beheerder genereert een code voor één domein en geeft die aan de persoon die aan die organisatie werkt. Die voert de code in. Een code werkt voor maar één domein, verloopt na 15 minuten en werkt één keer. De code toont eigendom van het domein aan; het mandaat vervangt hij niet.

Een code genereren (alleen admin):

Open Settings en zoek het niet-geverifieerde domein.

Kies onder Launch code voor Generate launch code.

De code verschijnt met een vervaltijd en de opmerking "Generating another code replaces this one." Kies Copy launch code en geef de code door.

Een code gebruiken (admin of user):

Open Settings en zoek het niet-geverifieerde domein.

Typ of plak de code onder Launch code in het veld Launch code.

Kies Verify with launch code.

ATLAS bevestigt "<domain> verified by launch code." en de rij toont Verified by launch code.

Launch codes werken alleen voor domeinen, niet voor IP-adressen of ranges.

Eigendom van een IP-adres aantonen

Een adres heeft geen eigen DNS-zone, dus ATLAS accepteert een van meerdere bewijzen. Richt in wat je netwerk toelaat en kies daarna Verify. ATLAS probeert elke keer alle bewijzen.

Bewijs	Wat je doet	Maakt contact met het adres?
TXT record in the reverse zone	Publiceer het TXT-record dat ATLAS toont op de reverse-DNS-naam van het adres. Degene die de reverse DNS beheert (jij, je internetprovider of je hostingprovider) kan het toevoegen.	Nee
Token in the PTR record	Als je provider je de reverse-DNS-naam (PTR) laat instellen maar geen TXT-record laat toevoegen, stel die dan in op een hostnaam die het label bevat dat ATLAS toont. De naam hoeft niet te resolven.	Nee
Forward-confirmed reverse DNS	Geef het adres een naam onder een domein dat je al hebt geverifieerd, laat die naam naar het adres wijzen en stel het PTR-record van het adres in op die naam. Beide richtingen moeten naar elkaar verwijzen.	Nee, maar vereist eerst een geverifieerd domein
Registry record (RDAP)	Als het adres bij het regionale internetregister op naam van de organisatie staat, is een contactpersoon bij die registratie met een e-mailadres onder een geverifieerd domein voldoende bewijs. Er hoeft niets gepubliceerd te worden.	Nee, maar vereist eerst een geverifieerd domein
Challenge file	Bied het token aan als platte-tekstbestand op het webadres dat ATLAS toont, via HTTP of HTTPS.	Ja, dus dit wacht op het mandaat
TLS certificate	Als het adres HTTPS aanbiedt op poort 443, is een publiek vertrouwd certificaat voor een host onder een geverifieerd domein voldoende bewijs.	Ja, dus dit wacht op het mandaat

Na een controle toont elk bewijs wat het de vorige keer vond: een vinkje met het bewijs als het slaagde, "✗ Last check: …" als het niet slaagde, of "Not tried last time: …" als het werd overgeslagen.

Opmerking

Wijzig voor forward-confirmed reverse DNS niet het DNS-record van je eigen website. Een PTR-record dat een host noemt die ergens anders naartoe wijst, telt niet mee.

Eigendom van een range aantonen

Een range kun je op twee manieren aantonen:

TXT record in the reverse zone. Publiceer het TXT-record dat ATLAS toont in de reverse zone die de hele range omvat.

Registry record (RDAP). De range staat bij het regionale internetregister op naam van de organisatie, met een contactpersoon van wie het e-mailadres onder een geverifieerd domein valt. "The registration has to cover the whole range."

Kies daarna Verify. Een adres binnen een geverifieerde range is ook gedekt; de status daarvan luidt Inside a verified range.

Een verklaring vastleggen

Als eigendom niet via DNS kan worden aangetoond, kan een ATLAS-beheerder in plaats daarvan een verklaring (attestation) vastleggen. Daarin geef je aan waar de toestemming schriftelijk is vastgelegd, zoals het ondertekende scopedocument van de opdracht.

Open Settings en zoek het niet-geverifieerde item.

Beschrijf onder Record an attestation waar de toestemming is vastgelegd, bijvoorbeeld "Rules of engagement v2, signed 12 Sep 2026". Gebruik minstens tien tekens.

Kies Record attestation.

ATLAS bevestigt "<domain> attested." en de rij toont Attested by gevolgd door je naam. Het rapport over de beveiligingshouding toont wie elk item heeft verklaard.

Het scanmandaat vastleggen

Het mandaat is de schriftelijke toestemming van de organisatie voor actieve verkenning: poortscans, het herkennen van services en vergelijkbare controles die netwerkverkeer naar haar systemen sturen. Passieve verkenning en het opzoeken van kwetsbaarheden raken de systemen van de organisatie nooit en hebben geen mandaat nodig.

Iedereen met de rol admin of user kan het mandaat vastleggen.

Open Settings en scrol naar Active reconnaissance mandate.

Typ in Name and role of the signatory wie het mandaat heeft ondertekend, bijvoorbeeld "J. Jansen, CISO".

Vink Active reconnaissance is authorised aan.

ATLAS bevestigt "Mandate recorded for <organisation>." Het onderdeel toont nu "Signed by <name> on <date>."

De onderdelen Active reconnaissance mandate en Intrusive testing authorisation van de pagina Scope & consent

Zonder mandaat toont het onderdeel "Not authorised — active recon jobs will be refused. Enter the signatory and tick the box to record a mandate." Vink je het vakje aan zonder ondertekenaar, dan meldt ATLAS "Enter the signatory before recording a mandate."

Het mandaat intrekken doe je door Active reconnaissance is authorised uit te vinken. ATLAS bevestigt "Mandate withdrawn. Active reconnaissance will be refused." Scans die verkeer zouden sturen, worden vanaf dat moment geweigerd; passieve verkenning draait nog wel.

Het mandaat heeft geen vervaldatum. Trek het in als de opdracht afloopt.

Toestemming geven voor ingrijpend testen

Het mandaat zegt dat netwerkverkeer de systemen van de organisatie mag bereiken. Het zegt niet dat iemand mag proberen in te loggen, of mag veranderen wat bezoekers van de organisatie te zien krijgen. Daarvoor is een tweede toestemming nodig: ondertekend, beperkt tot hooguit 90 dagen en met de hosts die eronder vallen. Zonder die toestemming draait er niets ingrijpends.

Alleen mensen met de rol admin kunnen deze toestemming vastleggen of intrekken.

Open Settings en scrol naar Intrusive testing authorisation.

Typ in Name and role of the person who authorised it wie de toestemming heeft ondertekend.

Kies in Authorisation ends (at most 90 days away) de einddatum.

Zet in het vak voor hosts de hosts die eronder vallen, één per regel. Elke host moet onder een geverifieerd domein van de organisatie vallen.

Beschrijf eventueel waar de toestemming vandaan komt: de opdrachtbevestiging, de datum en wie die heeft ondertekend.

Vink het vakje aan dat begint met "I accept, in my own name, that attempting a login can lock this organisation's staff out of their own systems". Je naam wordt bij de toestemming vastgelegd.

Vink daarnaast Also allow cache poisoning aan, maar alleen als de opdracht dit omvat. Dit is een aparte acceptatie, omdat het effect de bezoekers van de organisatie raakt en niet de organisatie zelf.

Kies Record authorisation.

ATLAS bevestigt "Intrusive testing authorised for <organisation> over <number> hosts, until <date>." De status toont Authorised, met wie de toestemming gaf, tot wanneer, hoeveel dagen er nog over zijn, wie het risico op uitsluiting heeft geaccepteerd, en Hosts it covers.

ATLAS controleert het formulier voordat het wordt opgeslagen:

Melding	Wat je herstelt
"Name the person who authorised the intrusive testing."	Vul de naam en rol in.
"Give the authorisation an end date. An engagement is a window."	Kies een einddatum.
"Name the hosts this authorisation covers. It covers what it names."	Zet er minstens één host in.
"Accept, in your own name, that a login attempt can lock out this organisation's staff."	Vink de bevestiging over uitsluiting aan.

Als de einddatum is verstreken, toont de status Expired: "Expired on <date>. Intrusive stages are refused until a new authorisation is recorded." Wil je de toestemming eerder beëindigen, kies dan Withdraw authorisation.

Zonder toestemming toont de status Not authorised: "Not authorised. Stages that attempt a login are refused, which is the default and the safe state."

Opmerking

Twee van de stages die deze toestemming vrijgeeft, Default credential verification en de Authorization matrix, worden nog afgerond. Zie De stages.

Andere gegevens op de pagina

Onderaan de pagina zie je:

Data residency: de regio die voor de organisatie is vastgelegd.

Organization type: het soort dat werd gekozen toen de organisatie werd toegevoegd.

Crown jewels: de kroonjuwelen van de organisatie, of "None marked". Kroonjuwelen markeer je op de Map. Zie Kroonjuwelen en kritikaliteit markeren.

Private adressen

Standaard scant ATLAS alleen adressen die via het openbare internet bereikbaar zijn. Voor een interne opdracht kan Soveryne private adressen toestaan voor één organisatie. De cel Private targets op de pagina Scans toont de huidige beslissing.

Opmerking

Je kunt de beslissing over private adressen niet zelf in de console nemen. Vraag het aan je contactpersoon bij Soveryne.

Problemen oplossen

Melding	Wat het betekent	Wat je doet
"<domain> is not proved yet. What to publish is shown under it in Scope & consent."	ATLAS heeft het TXT-record niet gevonden.	Controleer of het record precies zo is gepubliceerd als getoond, wacht een paar minuten en kies daarna Check again.
"Could not add that domain."	ATLAS kon het item niet toevoegen.	Controleer de spelling. Een range moet in CIDR-notatie staan.
"Enter a launch code."	Je koos Verify with launch code met een leeg veld.	Plak eerst de code.
"Launch code is invalid, expired, replaced, or already used."	De code is onjuist, ouder dan 15 minuten, vervangen door een nieuwere code of al gebruikt.	Vraag een beheerder om een nieuwe code te genereren.
"This domain is already verified."	Iemand heeft het domein al geverifieerd.	Niets. Laad de pagina opnieuw.
"Domain changed; refresh and generate another code."	Het domein is gewijzigd nadat de code werd gegenereerd.	Laad de pagina opnieuw en genereer een nieuwe code.
"Could not verify launch code." / "Could not generate launch code."	ATLAS kon het verzoek niet voltooien.	Probeer het opnieuw.
"Say where the authorization is recorded — the signed scope document, or the published permission."	De tekst van de verklaring is te kort.	Beschrijf in minstens tien tekens waar de toestemming is vastgelegd.
"<organisation> is a demo organization: its hosts and findings are illustrative, so nothing is scanned or verified for it."	Demo-organisaties worden nooit geverifieerd of gescand.	Gebruik een echte organisatie.
"Active reconnaissance needs a signed mandate for this organization. Record one under Scope & consent."	Een scan had het mandaat nodig.	Leg het mandaat vast.
"No verified domain or address in scope. Verify ownership under Scope & consent before scanning it."	Een scan had een geverifieerd item nodig.	Verifieer minstens één domein of adres.
"Intrusive testing needs its own written authorization for this organization, separate from the scanning mandate. Record one under Scope & consent."	Een scan bevatte een ingrijpende stage.	Vraag een beheerder om een toestemming voor ingrijpend testen vast te leggen, of haal die stage uit het profiel.

← VorigeEen organisatie toevoegen Volgende →Scans