Canlı sitemizde web pentest yapılacak — kesinti riski için test planı nasıl yazılır?

Otomatik zafiyet tarayıcıların form doldurma özelliklerine dikkat edin. Eğer bülten kaydı veya iletişim formunu taramaya başlarlarsa 10 dakikada kuyruğa 20 bin sahte e-posta sokup giden posta sunucunuzun kara listeye girmesine neden olabilirler. Bu formları tarama dışı bırakın.

Test ekibine özel bi test kullanıcısı açın ve bakiyesini tanımlayın. Sakın gerçek müşterilerin görebileceği stoklu ürünler üzerinde silme veya sepete rezerve etme denemeleri yapmalarına izin vermeyin, sonra stoklar kilitleniyor.

İki sene önce canlıda test yaptırdık test uzmanı arkadaş veri tabanında SQL Injection ararken uyutma komutu içeren bir sorgu fırlattı. Veri tabanı bağlantı havuzu 3 dakika içinde tükendi ve canlı sitede tüm ödeme ekranı 20 dakika boyunca hata verdi. Nöbetçi devops şart.

Biz gece 02:00-06:00 aralığında yaptırdık. Günlük 1.000 siparişlik sitede gece sipariş sayısı 15'e kadar düşüyor. Olası bir kilitlenmede müşteri kaybı maliyetimiz sıfıra yakın oldu, kesinlikle mesai saatinde canlı test yaptırmayın.

Ödeme geçidi tarafını nasıl test edecekler? Canlı pos üzerinden kuruşluk çekim mi yapacaklar yoksa sahte gateway mi kuracaksınız? Burası sözleşmede net değilse finans tarafı karışır.

test planına mutlaka tek yetkili telefon numarası yazın ve bir gariplik hissedildiği an pentest yapan kişi o numardan gelen dur çağrısılya araçları kapatmalı

Canlı ortam ile staging ortamını birebir yapamayıp canlıda stres testi tadında pentest yapmak bizim sektöre özgü harika bir macera arayışı. Bari yedekleri testten bir saat önce tam alın da ertesi sabah felaket senaryosu yaşamayın.

Hazırlanacak test sözleşmesinde tarafların sorumlulukları açıkça belirtilmeli, test ekibinin onaylanan plan ve saatlerin dışına çıkması durumunda doğacak ticari zararlardan yüklenici firmanın sorumlu olacağı hükme bağlanmalıdır.

Geçen yıl neredeyse aynısını yaşadık. neyse kararı verirken elinizde hangi veri var önce ona bakın.

Tecrübeyle sabit.

Bunu yaparken bakılacak üç şey var. Asıl mesele rakam değil, o rakamın neye göre çıktığı.

Herkesin yaptığı şey, doğru olduğu anlamına gelmiyor. Ben olsam bu yoldan giderdim.

Katılıyorum.

üç ayrı görüş çıktı hepsi birbirini tamamlıyor. bir konuda üç farkıl cevap alıyorsanız soru yanlış sorulmuştur.

yanlışım varsa düzeltin.

Takipteyim.

Bunu yaparken bakılacak üç şey var. Yanlış alarmı azarlarsanız bi daha kimse bildirim yapmıyor.

Benim görüşüm bu, kesin doğru diye yazmıyorum.

Aynen öyle üstelik bu kadar bilinmiyor. Bunu tek başına yapmaya çalışmak en pahalı yol.

Geçen yıl neredeyse aynısını yaşadık. Küçük ölçekte işe yarayan çözüm büyüyünce çöküyor, bunu geç öğrendim.

Umarım işinize yarar.

Uzun süre bu işle uğraştım. Bildirim yolu uzunsa bildirim gelmiyor; gelmeyen bildirim geç fark edilen olay demek.

Not olarak bırakayım, lazım olur.

bunu yazdığınız icin teşekkurler, doğrusu bu. yedeğin aynı ağda ve aynı kimlikle erişilebilir olması onu hedefin parçası yapıyor.

web pentset test planı tarafında yapılan hata genelde geri dönülebilir ama pahalı. sorunuz olursa yazın elimden geldiğince cevaplarım.