Pentest raporu yazmakla görevlendirildim — rapor neyi içermeli, hangi format iş görür?

Murat G***3 ay önce·28 mesaj·7,7 B görüntülenme#sızma testi #pentest raporu #siber güvenlik #risk analizi

Görev: Satın alma sorumlusu
Sektör: Spor ve fitness
Yapı: 20 kişilik firma
Katılım: Nis 2023
Mesaj: 2

3 ay önce#1

On iki kişilik bir yazılım ajansıyız. Uzun süredir çalıştığımız kurumsal bir perakende müşterimizin B2B sipariş portalı için kapsamlı bir sızma testi çalışması yürüttük. Test sürecini kendi iç teknik ekibimizle tamamladık ancak nihai sızma testi raporunu hazırlama görevi bana devredildi. Yaklaşık 45.000 TL bütçeli bir güvenlik denetimi taahhüdümüz vardı ve ilk kez bu ölçekte resmi bir teslimat yapacağız.

Elimde açık tarayıcı çıktısı, manuel yakalanan yetki yükseltme açıkları ve birkaç parametre manipülasyonuna ait ekran görüntüleri var. Fakat karşı tarafın hem bilgi işlem müdürü hem de teknik olmayan genel müdür yardımcısı bu raporu okuyacak. Teknik ayrıntılarla üst yönetimin anlayacağı dili nasıl dengelemeliyim? Risk seviyelerini neye göre sınıflandırmalı ve raporda standart olarak hangi başlıkları açmalıyım?

Mert Y***Uzman

Görev: İcra kurulu üyesi
Sektör: Lojistik
Yapı: orta ölçekli işletme
Katılım: Eki 2023
Mesaj: 306

3 ay önceEn çok yardımcı olan#2

Kısa cevap: Profesyonel bi sızma testi raporu yönetici özeti ve teknik bulgular olmak üzere iki ana gövdeden oluşur. yani yönetim kadrosu için finansal ve operasyonel riskleri özetleyen bi sayfa teknik ekip icin ise yeniden üretilebilir bulgu adımları sunulmalıdır.

Raporunuzu şu dört temel bölüm halinde kurgulamanız gerekir: 1) Yönetici Özeti: Testin ne zaman yapıldığı kapsamı tespit edilen kritik risklerin iş süreçlerine olası zararları teknik terimlere boğulmadan anlatılır. 2) Metodoloji ve Kapsam: Hangi alan adlarının IP bloklarının veya uygulama modüllerinin test edildiği hangi test yaklaşımının uygulandığı netleştirilir. işte 3) Risk Değerlendirmesi ve Bulgular: Her bulgu için sektör standardı kabul edilen puanlama sistemi temel alınarak kritik, yüksek orta düşük ve bilgilendirme seviyeleri atanır. 4) Çözüm Önerileri: Her zafiyetin nasıl kapatılacağı somut kod veya yapılandırma örnekleriyle açıklanır.

Teknik bulgular kısmında her açık için mutlaka açık adı etkilenen URL veya parametre, zafiyetin kanıtı olan ekran görüntüsü ya da ham istek-yanıt kayıtları bulunmalıdır. valla müşteri ekibinin açığı kendi ortamında doğrulayabilmesi için adım adım yeniden üretim senaryosu yazmanız şarttır. Ayrıca raporda 'sistemler tamamen güvenlidir' gibi bağlayıcı ve hukuki risk doğuracak kesin ifadelerden kaçınmalı, yalnızca test anındaki durumu yansıttığını belirten bir feragat notu eklemelisiniz.

Okan G***Katılımcı

Görev: Finans müdürü
Sektör: Enerji
Yapı: tek kişilik işletme
Katılım: Nis 2023
Mesaj: 39

3 ay önce#3

Yöneticilerin teknik bölümleri asla okumadığını aklınızdan çıkarmayın. İlk iki sayfayı genel müdür yardımcısının anlayacağı şekilde yazın; örneğin 'SQL enjeksiyonu bulundu' demek yerine 'Sipariş veritabanındaki müşteri verilerinin dışarı sızma riski mevcuttur' ifadesi işin ciddiyetini anlatır.

Ceren E***KatılımcıTopluluk üyesi

Katılım: Nis 2025
Mesaj: 95

3 ay önce#4

Risk seviyelerini belirlerken rastgele tahmin yürütmeyin, CVSS puanlama mantığını referans alın. Açığın uzaktan tetiklenebilir olup olmadığı, yetki gerektirip gerektirmediği puanı doğrudan değiştirir. Ekran görüntülerinde hassas verileri ve oturum anahtarlarını maskelemeyi de unutmayın.

Zehra A***UzmanTopluluk üyesi

Katılım: Şub 2023
Mesaj: 5

3 ay önce#5

Rapor taslağınızı oluştururken şu akışı bozmayın: 1) Yönetici özeti ve genel risk skoru 2) Kapsam sınırları ve test tarihleri 3) Zafiyet listesi ve detaylı kanıtlar 4) Önceliklendirilmiş düzeltme planı, 5) Yeniden test süreci açıklaması.

Vildan Y***Katılımcı

Görev: İçerik editörü
Sektör: Perakende
Yapı: 20 kişilik firma
Katılım: Kas 2024
Mesaj: 70

3 ay önce#6

Müşteriyle yaptığınız sözleşmede rapor formatına dair bi şartname var mıydı? Bazı kurumsal firmalar belirli kamu veya finans denetim standartlarına uyumlu şablon talep edebiliyor sonradan revizeyle uğraşmamak için baştan teyit ettiniz mi?

Aycan U***KatılımcıTopluluk üyesi

Katılım: Tem 2023
Mesaj: 2

3 ay önce#7

ilk raporumda otomatik tarama aracının yüz sayfalık çıktısını Türkçeye çevirip vermiştim müşteri çok fena tepki göstermişti sonra sadece doğrulanmış, canllıda gercekten çalışan açıkları yazın gereksiz bilgi kirliliği yapmayın.

Barış S***KatılımcıTopluluk üyesi

Katılım: Mar 2023
Mesaj: 79

3 ay önce#8

İç ekibin kendi yazdığı yazılımı test edip raporlaması müşteri tarafında güven sorunu yaratabilir... Raporda metodolojiyi çok şeffaf tutun ki müşterinin kendi bilgi işlemcileri 'kendi eksiklerini gizlemişler' şüphesine düşmesin.

İbrahim K***Katılımcı

Görev: Tedarik zinciri yöneticisi
Sektör: Deri
Yapı: 120 kişilik şirket
Katılım: Eki 2024
Mesaj: 177

3 ay önce#9

Biz yılda ortalama on benzer rapor teslim ediyoruz. Kırk sayfayı aşan raporların teknik ekiplerce uygulanma oranı çok düşüyor. On beş ile yirmi sayfa arasında, net ve madde odaklı raporlar her zaman daha iyi sonuç veriyor.