40 sayfalık sızma testi raporu aldık — karşılaştırmak için örnek rapor var mı?

Raporda istismar kanıtı yoksa o test yapılmamıştır. Örneğin bir SQL Enjeksiyonu bulduk diyorlarsa, veri tabanından zararsız bir veriyi nasıl çektiklerini adım adım göstermek zorundalar. Sadece aracın açık bulundu uyarısını koyup geçemezler.

Biz de iki yıl önce 2.500 sterline benzer bir rapor kurbanı olduk. Müşterimizin güvenlik denetçisi raporu görür görmez reddetti ve bunun sızma testi değil sadece zafiyet taraması olduğunu söyledi. Başka bir uzmanla yeniden çalışmak zorunda kalmıştık.

3.500 sterlin İngiltere pazarında kapsamlı bir manuel test için oldukça sınır bir bütçe. Bu fiyatlara genelde aracı çalıştırıp raporu basarlar. Gerçek bir test en az 3-5 adam/gün manuel emek gerektirir ve faturası buna göre yansır.

Raporu firmaya geri gönderip iki şey talep edin: İlki yönetim için tek sayfalık risk ve etki özeti ikincisi yazılım ekibinizin düzeltmeleri doğrulayabilmesi icin somut adımlar. Sözleşmenizde manuel test maddesi varsa bunu düzeltmek zorundalar.

Hizmet sözleşmenizde testin türü tam olarak ne diye geçiyor? Zafiyet taraması mı yoksa sızma testi mi? İki hizmet sektörde maalesef çok karıştırılıyor ve sözleşmede zafiyet taraması yazıyorsa itirazınız zorlaşır.

sayfa sayisina hic aldanmayin ve 15 sayfalik tertemiz elle yazilmis ve tam hedefi vuran bir rapor 80 sayfalik otomatik tarayici dokumunden on kat daha degerlidir

Kurumsal müşterinize bu raporu doğrudan iletmeden önce güvenlik sağlayıcınızdan raporu revize etmesini istemeniz menfaatinizedir. Deneyimli bir kurumsal denetçi otomatik tarama çıktısını derhal fark edecek ve güvenilirlik algınızı zedeleyecektir.

düzeltme: rakamı yanlış hatırlamışım, biraz daha düşüktü.

Elinizdeki raporu denetlemek için şu üç maddeye bakın: 1) Yanlış pozitifler filtrelenmiş mi, yoksa her uyarı rapora eklenmiş mi? 2) Risk puanları sizin iş bağlamınıza göre uyarlanmış mı? 3) Yazılımcınız okuduğunda kodu nasıl düzelteceğini anlayabiliyor mu?

Tam zamanında bir konu.

Haklısınız.

bu kdr açık anlatan yazı az bulunuyor

Küçük bi işletmeyim benim tarafımdan anlatayım. Bunun cevabı sektöre göre çok değişiyor, genel geçer bi kural yok.

Not olarak bırakayım lazım olur.

Teşekkür ederim, çok işime yaradı. Olayların çoğu zafiyetten değil sızmış bir paroladan başlıyor.

Benim görüşüm bu, kesin doğru diye yazmıyorum.

Genel olarak doğru ama bir yeri eksik kalmış. Bizde en çok zaman kaybettiren şey, kimin karar vereceğinin belli olmamasıydı.

sızma testi raporu konusunda acele eden herkes aynı yerde takılıyor.

Teoride doğru, pratikte öyle yürümüyor. neyse bir sorunu fark etme süreniz o sorunun maliyetini doğrudan belirliyor.

Kendi durumunuz farklıysa tabii değişir.

Katılıyorum.

Şunu yaşadıktan sonra bakışım değişti. Yanlış alarmı azarlarsanız bi daha kimse bildirim yapmıyor.

Aynı şeyi ben de düşünüyordum. Otomatik tarama raporu ile sızma testi aynı şey değil.