Sızma testi 30 günde düzeltin diyor: Normal açık kapatma süreleri gerçekçi mi?

Rapordaki orta seviyeli bulguların en az yarısı muhtemelen eksik HTTP güvenlik başlıkları, zayıf şifreleme algoritmaları veya yazılım sürüm ifşasıdır. Bunları kod yazmadan, doğrudan sunucu veya bulut vekil katmanındaki basit yapılandırma dosyalarından yarım günde topluca kapatabilirsiniz.

Test firmasını hemen arayın. 'Geliştirme kapasitemiz nedeniyle kritik ve yüksekleri kapatıp önce onlar icin doğrulama istiyoruz, orta seviyeler icin ek süre talep ediyoruz' deyin. Genelde sözleşme süresini 60 güne uzatmakta zorluk çıkarmazlar.

Sektörde genel kabul gören açık kapatma süreleri şöyledir: 1) Kritik açıklar en geç 7 ile 14 gün içinde, 2) Yüksek riskli açıklar en geç 30 gün içinde, 3) Orta riskli açıklar 60 ile 90 gün içinde, 4) Düşük riskli açıklar ise 180 gün veya uygun bir bakım döneminde kapatılır.

edit: birkaç yazım hatasını düzelttim.

Test firmaları kendi takvimleri aksamasın ve dosyayı çabuk kapatsınlar diye '30 gün içinde hepsi bitmeli' baskısı kurar. Hiçbi B2B müşteri mantıklı bi gerekçe sunduğunuzda orta seviye bi açık yüzünden sözleşmeyi iptal etmez, panikle yanlış kod yazmayın.

tek yazılımcıya 28 açık yüklerseniz hem ana ürünün teslimatı aksar hem de panikle yapılan yamalar yeni güvenlik açıkları doğurur sonar sadece kritik olan 3 maddeye odaklanmasını söyleyin.

İki yıl önce benzer bi rapor aldığımızda tek geliştiricimizi üç hafta boyunca tamamen sızma testi maddelerine gömdük... Sonuçta yayına çıkması gereken müşteri özellikleri bi ay gecikti ve şirketin nakit akışı bozuldu. Sonradan anladık ki rapordaki 15 orta seviye açık aslında tamamen iç ağ kısıtlamasıyla hafifletilebilecek şeylermiş. neyse önceliğiniz her zaman doğrudan para kazandıran işler ile gerçek saldırı riski arasında denge kurmak olmalı.

Müşterinize sunmak üzere bir Güvenlik İyileştirme Planı hazırlayınız. Bu belgede kritik ve yüksek açıkların hedeflenen kapatılma tarihlerini, orta seviye açıklar için ise alınan geçici önlemleri madde madde belirtmeniz kurumsal uyum süreçleri açısından yeterli karşılanacaktır.

Kritik olan üç maddeyi hemen kapatın gerisi için müşteriye üç aylık takvim iletin.

Yukarıdaki cevap işin özünü söylemiş. Bunu baştan yazılı hâle getirmezseniz sonra tartışma çıkıyor.

cok teseuurler bugun deneyecegim

ben de merak ediyorum.

Çok teşekurler, bugün deneyeceğim. valla açık kapatma süreleri konusunda acele eden herkez aynı yerde takılıyor.

Bildirim yolu uzunsa bildirim gelmiyor; gelmeyen bildirim geç fark edilen olay demek... Yanlışım varsa düzeltin.

buradan gidecekseniz şunu baştan halledin. açık kapatma süreleri tarafında yapılan hata genelde geri dönülebilir ama pahalı.

Bunun bir de ölçüm tarafı var. Küçük bir deneme ile başlayın, tamamını bir anda bağlamayın.

Ben olsam bu yoldan giderdim.

Bende tam tersi oldu, o yüzden yazıyorum. Olayların çoğu zafiyetten değil, sızmış bi paroladan başlıyor.

İki hafta boyunca not tutmak, altı aylık tahminden iyi sonuç veriyor. Yanlışım varsa düzeltin.

Kaydettim.

Bunu duyalı çok oldu ama bizde hiç böyle olmadı. Küçük ölçekte işe yarayan çözüm büyüyünce çöküyor, bunu geç öğrendim.

Envanter çıkarmadan alınan önlem, görmediğiniz kapıyı açık bırakıyor.

aynı haatyı yapmayın diye yazıyorum ama bu arada yedeğin aynı ağda ve aynı kimlikle erişilebilir olması onu hedefin parçası yapıyor.

bu kdr, uzattıysam kusura bakmayın.