Pentest teklifi alırken örnek rapor istemeli miyiz ve raporda neler bulunmalı?

Gizlilik sözleşmesi arkasına sığınmak sektörde kalitesiz iş yapanların en sık başvurduğu bahanedir. Ciddi her firmanın kurumsal kimliğiyle hazırladığı jenerik veya temizlenmiş bir şablon raporu arşivinde hazır bekler.

Paylaşılan 50 sayfalık rapora da hemen kanmayın. Sayfaları inceleyin; eğer sayfalarca zafiyet derecesi düşük kütüphane açıklaması ve genel internet tanımları varsa o da otomatik tarayıcı çıktısı olabilir.

Geçen sene 40.000 TL verip aldığımız ilk pentest raporunun 60 sayfasının 50'si genel internet bilgi notuydu. İtiraz ettik ama sözleşmede kapsam net olmadığı için ödemeyi yapmak zorunda kaldık.

örnek rapordaki bulguları gördükten snra bzim yazılım ekibinin bunları düzeltmesi ne kadar sürüyor tekrar test için ayrıca para ödüyor muyuz?

Raporda mutlaka şunlar aranmalı: 1) Kapsam dışı bırakılan alanların listesi, 2) CVSS skorlama mantığı, 3) Doğrulama testi yani re-test takvimi ve şartları.

Kurumsal müşterileriniz denetimden geçtiğinde sadece raporun varlığına değil raporu hazırlayan firmanın ve uzmanların geçerli akreditasyon ve sertifikalarına da bakacaktır. Bunu da teklif şartnamesine ekleyin.

rapor vermeyen firma büyük ihtimalle otomatik aracı başlatıp ertesi gün araüzden dışa aktar yapacaktır. neyse hiç riske girmeyin, işinizi şansa bırakmayın derim.

Bunu duyalı çok oldu ama bizde hiç böyle olmadı. Asıl mesele rakam değil, o rakamın neye göre çıktığı.

Bunu baştan yazılı hâle getirmezseniz sonra tartışma çıkıyor. Umarım işinize yarar.

Aynı hatayı yapmayın diye yazıyorum. İki hafta boyunca not tutmak, altı aylık tahminden iyi sonuç veriyor.

Umarım işinize yarar.

emeğinize sağlık bir de yani herkesin yaptığı şey, doğru olduğu anlmına gelmiyor.

benim görüüşm bu kesin doğru diye yazmıyorum.

katılıyorum. olaların çoğu zafiyetten dgl sızmış bi paroladan başlıyor.

ben olsam bu yodlan giderdim.

Haklısınız.

katiliyorum hatta altini cizek isterim. acele karar, alti ay sonra duzeltillen karar oluyor

bir konuda üç farklı cevvap aılyorsanız soru yanlış sorulmuştur... neyse umarım işniize yarar.

Buraya kdr söylenenleri özetleyeyim. Tek bir önleme güvenmeyin; katman katman gidin.

Sonucu buraya yazarsanız başkalarına da faydası olur.

Evet, sızma testi raporu örneği konusunda durum aynen böyle. Test edilmemiş bir yedek yedek değildir.

Benim görüşüm bu kesin doğru diye yazmıyorum.

Bizde şöyle oldu. Envanter çıkarmadan alınan önlem, görmediğiniz kapıyı açık bırakıyor.

Benim görüşüm bu kesin doğru diye yazmıyorum.

Haklısınız, ben de aynı yoldan geçtim. Kararı verirken elinizde hangi veri var, önce ona bakın.

Umarım işinize yarar.