Pentest raporu elimize ulaştı ama anlamıyoruz — rapor ne anlatır, neye bakmalıyız?

Sistem uzmanınızın 'sistem çalışıyor' savunması yanıltıcıdır. Bir web uygulamasının çalışması ile güvenli olması tamamen farklıdır. Örneğin SQL injection açığı varsa sistem kusursuz sipariş almaya devam eder ama kötü niyetli biri URL üzerinden tek sorguyla tüm müşteri ve bakiye tablonuzu dışarı aktarabilir. Rapordaki bulgu kanıtlarına mutlaka bakın.

sistemcinin klasik tepkisi bu maalesef iş çıkmasın diye abartı der. yönnetiicnin yapacağı şey rapordaki 'kritik' ve 'yüksek' yazan satırları excel tablosuna döküp sorumlu kişiye termin tarihi vererek imzalatmaktır ve gerisi sadece zaman kaybı

edit: telefondan yazdım, yazım hatalarım için kusura bakmayın.

Testi yapan siber güvenlik firmasını arayın ve sözleşme kapsamındaysa bir saatlik rapor kapanış toplantısı talep edin. valla ıT uzmanınızı da toplantıya alın ve test uzmanına doğrudan sorun: 'Bu açık kullanılarak B2B sipariş sitemiz durdurulabilir veya müşteri bilgileri çalınabilir mi?' Tartışma orada biter.

Bazen güvenlik firmaları otomatik tarama araçlarının ham çıktısını kopyalayıp 40 sayfalık rapor diye sunabiliyor. Bu durumda sahte alarmlar (false positive) oluşabilir... IT uzmanınızın itirazı buna dayanıyor olabilir... Raporda her bulgunun arkasında elle yapılmış gerçek bir istismar kanıtı var mı kontrol edin.

Raporu aksiyona dönüştürürken izlenecek yol: 1) Kritik bulgular icin 7 günlük acil yama takvimi belirleyin. 2) Düzeltmeleri canlı sistemde değil test ortamında deneyip sipariş akışının bozulmadığından emin olun. 3) Sözleşmenizdeki ücretsiz tekrar testi (retest) hakkınızı kullanarak bulguları kapattırın.

Yıllarca denetim süreçlerini yönetmiş biri olarak şunu söyleyebilirim: Rapor teşhistir, asıl sorumluluk tedaviyi uygulamaktadır. Tek kişilik bir IT personeli hem operasyonu yürütüp hem karmaşık web zafiyetlerini kapatmakta zorlanabilir. Gerekirse web yazılımını yapan dış ajanstan destek alıp sistemcinize yardımcı olun.

dogrulama testi dedikleri sey icin siber guvenlik firmasina tekrar sifirdan odeme ypamak gerekiyor mu?? bizim teklifte tekrar testine dair bi madde goremedim geenl isleyiste bu hizmet fiyata dahil mi sayilir??

Buna katılıyorum. İkinci doğrulama açıksa çalınan parola tek başına işe yaramıyor.

Sonucu buraya yazarsanız başkalarına da faydası olur.

Peki şunu nasıl çözdünüz? Kayıt tutmayan hiçbir süreç düzelmiyor, çünkü neyi düzelteceğinizi bilmiyorsunuz.

Bunu baştan yazılı hâle getirmezseniz sonra tartışma çıkıyor. Not olarak bırakayım, lazım olur.

Yukarıdaki cevap işin özünü söylemiş. Yazılı olmayan her madde, ileride iki tarafın da farklı hatırladığı bir madde.

Sonucu buraya yazarsanız başkalarına da faydası olur.

Üç ayrı görüş çıktı hepsi birbirini tamamlıyor. Küçük ölçekte işe yarayan çözüm büyüyünce çöküyor, bunu geç öğrendim.

Envanter çıkarmadan alınan önlem görmediğiniz kapıyı açık bırakıyor. Kendi durumunuz farklıysa tabii değişir.

Haklısınız.

Kesinlikle. Üstüne bir şey eklemek gerekirse: Bizde en çok zaman kaybettiren şey, kimin karar vereceğinin belli olmamasıydı.

Sonucu buraya yazarsanız başkalarına da faydası olur.

ucuz görünen yol genelde sonradan pahalıya patlıyor. açıkçası olayların çoğu zafiyetten deil sızmış bi paroladan başlıyor.

kendi durumunuz farklıyysa tabii değişir.

Aynısını yaşadım.

Tartışma dağıldı, toparlayayım. pentest raporu nedir konusunda acele eden herkes aynı yerde takılıyor.

Güvenli olmak mutlak değil; saldırıyı uğraşmaya değmez hâle getirmek demek. Bu kadar, uzattıysam kusura bakmayın.

Doğru söylüyorsunuz. İkinci doğrulama açıksa çalınan parola tek başına işe yaramıyor.

İlk kez yapıyorsanız küçük başlayın, ölçek sonra gelir... Umarım işinize yarar.

Buradan gidecekseniz şunu baştan halledin. Yedeğin aynı ağda ve aynı kimlikle erişilebilir olması, onu hedefin parçası yapıyor.

Ben olsam bu yoldan giderdim.