Sitemiz için pentest yaptırmamız istendi, bu ne demek ve gerçekten gerekli mi?

Pentest genellikle üç yöntemle yapılır: Sisteme dair hiçbir bilginin verilmediği Black Box, kaynak kod ve sunucu erişiminin sağlandığı White Box ve kullanıcı yetkileriyle yapılan Gray Box. Bir e-ticaret sitesi için en verimli olanı, hem dışarıdan bir saldırganı hem de yetkisi yükseltilmiş bir müşteriyi taklit eden Gray Box testtir.

Biz iki ay önce benzer ölçekteki sitemiz icin 3 günlük bir test yaptırdık, 38.000 TL ödedik. Kart saklamıyorduk ama API üzerinde kimlik doğrulama açığı bulundu. Bir kullanıcı diğer tüm müşterilerin sipariş geçmişini ve ev adreslerini görebiliyormuş. Sadece o açığı kapatmak bile ödediğimiz paraya değdi.

45.000 TL teklif veren firmaya kapsamı mutlaka sorun. bu arada piyasada otomatik bi yazılım çalıştırıp iki saat sonra yazılımın çıktısını rapor diye teslim eden çok yer var. Manuel test yapacaklar mı kaç adam/gün çalışacaklar, testi yapan uzmanın geçerli sertifikaları var mı? Bunları yazılı isteyin.

İş ortağınız rapor istiyorsa bundan kaçamazsınız. Teklifi düşürmek için kapsamı daraltın: 1) Sadece web uygulamasını teste dahil edin, şirket içi ağı hariç tutun 2) Test süresini 2 iş günüyle sınırlandırın 3) Açıklar kapatıldıktan sonra ücretsiz doğrulama testi (re-test) istendiğini sözleşmeye yazdırın.

Geçen sene küçük bir takı sitemiz varken "bize kim ne yapsın" diyorduk... Bir gün müşteri panelimizden veritabanına sızıp tüm teslimat adreslerini sildiler ve fidye istediler... İki hafta satış yapamadık yedekten dönmek ve veri kaybını telafi etmek bize test ücretinin katbekat fazlasına patladı.

hazır sanal pos kullanmanız sadece kart güvenliğini sağlar bir de nyse sitenin veri tabanında tutulan binlerce kişinin adres ve iletişim bilgii çalınırsa kvkk kapsamında karşılaşacağınız yaptırımlar 45 bin liranın çok üzerinde olur

İş ortağınız standart bir bağımsız denetim raporu mu istiyor, yoksa TSE onaylı A veya B seviye belgeli bir sızma testi mi şart koşuyor? Şartnamede özel bir akreditasyon şartı varsa merdiven altı firmalara boşuna para ödemeyin, rapor geçerli sayılmaz.

İlk kez yaptıracağınız icin süreç gözünüzü korkutmasın... Güvenlik firması test yaparken siteniz çökmez; testleri genelde sitenin bi kopyasında ya da gece düşük trafikli saatlerde kontrollü şekilde yürütürler.

Bende tam tersi oldu o yüzden yazıyorum. neyse tek bi önleme güvenmeyin; katman katman gidin.

Benim görüşüm bu kesin doğru diye yazmıyorum.

Haklısınız.

benim basimdan geceni yazayim belki isiinze yarar bir de neyse bir sorunu fark etme sureniz, o sorunun maliyetini dogrudan belirliyor

kendi druumunuz farlıysa tabii değişir

Ben de merak ediyorum. Sormaktan çekinmeyin sormayan hep daha pahalıya ödüyor.

Otomatik tarama raporu ile sızma testi aynı şey değl. yani tecrübeyle sabit.

Sağ olun, aradığım cevap buydu.

Bizde de aynı.

Genel olarak doğru ama bi yeri eksik kalmış. Herkesin yaptığı şey, doğru olduğu anlamına gelmiyor.

Ben olsam bu yoldan giderdim.

acele etmeeyin derim. nese iki hafta boyunca not tutmak, alti aylik tahminden iyi sonuc veriyor.

beim görüüşüm bu kesin doğru diye yazmıyorum

Bende tam tersi oldu, o yüzden yazıyorum. Küçük ölçekte işe yarayan çözüm büyüyünce çöküyor, bunu geç öğrendim.

Tecrübeyle sabit.

Bunu bilmiyordum.