"Pentest hizmeti" satmaya çalışıyorlar — bu ne, bizim boyutta gerçekten gerekli mi?

Murat G***2 ay önce·36 mesaj·2,5 B görüntülenmeKapatıldı#sızma testi #pentest #bilgi güvenliği #siber güvenlik

Görev: Satın alma sorumlusu
Sektör: Spor ve fitness
Yapı: 20 kişilik firma
Katılım: Nis 2023
Mesaj: 2

2 ay önce#1

Toptan gıda ve ambalaj sektöründe 14 çalışanlı bir şirketiz. Kendi müşterilerimiz için 8 ay önce açtığımız bir B2B sipariş portalımız var. Yaklaşık 650 bayi bu panelden cari bakiyesini görüyor, sipariş veriyor ve sanal POS üzerinden kredi kartıyla ödeme yapıyor. Geçen hafta bir siber güvenlik firmasından aradılar ve sistemlerimiz için acil pentest paketi almamız gerektiğini, aksi halde ciddi açıklar olabileceğini söylediler. Gönderdikleri teklifte 60.000 TL gibi bir rakam var.

Açıkçası pentest dedikleri şeyin ne olduğunu tam olarak kavrayamadım. Normal bir antivirüs ya da güvenlik duvarından farkı nedir? Gerçekten bir bilgisayar korsanı gibi sisteme saldırıp açık mı arıyorlar, yoksa sadece otomatik bir yazılım çalıştırıp standart bir rapor mu çıkarıyorlar? Bizim gibi orta-küçük ölçekli bir toptancı için bu hizmet lüks bir harcama mı, yoksa sistemimizi korumak için gerçekten yaptırmamız gereken bir zorunluluk mu?

Lale Y***KatılımcıTopluluk üyesi

Katılım: Tem 2025
Mesaj: 378

2 ay önce#2

Satışçıların telaşlandırma taktiğine hemen kapılmayın. Pentest kesinlikle faydalı bir denetimdir ama 'hemen almazsanız batarsınız' dili kullanan firmaların çoğu kaliteli iş yapmaz. Önce neye ihtiyacınız olduğunu siz belirleyin, onların paketine teslim olmayın.

Kader Ş***UzmanTopluluk üyesi

Katılım: Mar 2024
Mesaj: 67

2 ay önceEn çok yardımcı olan#3

Kısa cevap: Pentest, yani sızma testi, etik güvenlik uzmanlarının sisteminize tıpkı bir saldırgan gibi kontrollü biçimde siber saldırı düzenleyerek güvenlik açıklarını bulup raporladığı manuel ve teknik bir denetim hizmetidir. Güvenlik duvarı kapıyı kilitlerken, pentest uzmanı hırsızın balkondan veya bacadan içeri girip giremeyeceğini bizzat dener.

Sizin yapınızda kritik bir eşik var: 650 bayinin cari verileri, sipariş geçmişi ve en önemlisi sanal POS entegrasyonu. Eğer portalınızda yetki aşımı açığı bulunursa bir bayi diğer bayinin iskonto oranlarını görebilir veya sipariş tutarlarını değiştirebilir. Dolayısıyla sizin ölçeğiniz için pentest fuzuli bir harcama değildir; sisteminizin itibarını ve ticaretinizi korumak adına gereklidir. Ancak burada dikkat etmeniz gereken asıl konu, teklif edilen hizmetin niteliğidir.

Piyasada çok farklı teklifler dolaşır; bunların bi kısmı sadece otomatik bi güvenlik tarayıcısı çalıştırıp çıkan İngilizce PDF çıktısını logo basarak teslim eder. Gerçek bi sızma testi ise iş mantığı hatalarını manuel olarak kurcalar.

Hizmet alırken şu süreci izlemenizi öneririm: 1) Teklif veren firmaya testin kaç adam/gün süreceğini ve manuel kontrollerin yapılıp yapılmayacağını sorun. 2) Kapsamı sadece B2B web portalı ve API uçlarıyla sınırlı tutarak maliyeti optimize edin. 3) Bulunan açıklar yazılımcınız tarafından kapatıldıktan sonra ücretsiz bi doğrulama testi (re-test) yapacaklarını sözleşmeye mutlaka ekletin.

Ceren G***Veteran

Görev: Yönetim kurulu üyesi
Sektör: Matbaa
Yapı: 8 kişilik ekip
Katılım: Eki 2022
Mesaj: 131

Doki · Sızma testi · 2026

2 ay önce#4

Otomatik zafiyet taraması ile sızma testi arasındaki farkı iyi anlamak lazım. Otomatik araç bilinen açıkları arar ama mantık hatalarını yakalayamaz. Örneğin sipariş kodunu 105 yerine 106 yazarak başkasının faturasına erişme açığını sadece manuel test yapan uzman fark eder.

GoncaUzman

Görev: Sağlık turizmi
Yapı: tek kişilik işletme
Katılım: Eki 2023
Mesaj: 162

2 ay önce#5

Biz geçen yıl benzer kapsamdaki sipariş panelimiz için 40.000 TL ödedik. Test sonucunda 2 adet kritik yetkilendirme açığı çıktı. Yazılımcımız iki günde yamadı. O açıklarla yakalansaydık rakip bayiler birbirinin özel fiyat listesini indirebilirdi, verdiğimiz paraya kesinlikle değdi.

Nuri Y***Uzman

Görev: Mağaza müdürü
Sektör: Deri
Yapı: 300 kişilik kurum
Katılım: Ağu 2022
Mesaj: 95

2 ay önce#6

bize de benzer bi mail atmışlardı kabul etmedik snra kendi yazılımcımıza açık kaynak araçlarla temel tarama yaptırdık şimdilik idare ediyor ama bütçe varsa uzmanına yaptırmak başka tabii.

Ahmet A***KatılımcıTopluluk üyesi

Katılım: Eki 2023
Mesaj: 63

2 ay önce#7

60.000 TL isteyen firmanın referanslarına bakın. Birçk ajans piyasadan indirdiği ücretsiz araçları iki saat çalıştırıp 80 sayfalık genel geçer rapor veriyor. Raporun içinde sitenizin koduna veya iş akışına dair somut bir analiz yoksa paranız boşa gider.

Ömer Ö***Katılımcı

Görev: Sosyal medya sorumlusu
Sektör: Matbaa
Yapı: zincir mağaza
Katılım: Şub 2023
Mesaj: 64

2 ay önce#8

Teklifi değerlendirirken şu üç unsuru netleştirin: 1) Test gri kutu yöntemiyle mi yapılacak, yani test için kullanıcı hesabı verilecek mi? 2) Test sırasında sitenin kesintiye uğrama riski var mı? 3) Çıkan rapor Türk Ticaret Kanunu veya KVKK süreçlerinde geçerli bağımsız denetim belgesi niteliği taşıyor mu?

Kaan G***KatılımcıTopluluk üyesi

Katılım: Ara 2022
Mesaj: 1

2 ay önce#9

Hemen sözleşme imzalamayın. En az iki farklı siber güvenlik firmasından daha kapsam belirleme toplantısı talep edin. İki bayilik test hesabı vererek sadece B2B panel icin teklif isteyin sunucu altyapısını ayrı tutun.