Sızma testi araçlarını alıp kendimiz mi denesek, yoksa bu bir hata mı?

Süreci ikiye ayırın: 1) Zafiyet taraması otomatiktir, araçlar yardımıyla bilinen eksikler taranır. 2) Sızma testi ise bulunan bi açığın arkasındaki veriye fiilen sızılıp sızılamayacağının insan aklıyla denenmesidir. Müşteriniz ikinciyi istiyor, siz araçla sadece birinciyi yapabilirsiniz.

Kendi başınıza otomatik araçla tarama yaparken dikkat: Araçlar web formlarına kontrolsüz veri basar. Canlı ortamda denerseniz veritabanına yüzlerce çöp kayıt girer, hatta ödeme veya SMS entegrasyonunuz varsa arka arkaya binlerce çağrı yapıp API kredinizi dakikalar içinde tüketebilir. Testi kesinlikle canlı sunucuda yapmayın.

İki yıl önce benzer bir hatayı yaptık. Bir banka müşterimize kendi aldığımız aracın tarama raporunu gönderdik. Güvenlik ekipleri rapordaki 14 kritik uyarının aslında sahte alarm olduğunu, buna karşın basit bir yetki kontrolü açığının raporda hiç yer almadığını hemen yüzümüze vurdu. İtibar kaybı 4.000 GBP tasarruftan çok daha pahalıya patladı.

5.500 GBP teklif veren firmanın da gerçekten elle test yapacağından emin misiniz? Bircok ajans tam olarak bahsettiğiniz o hazır araçları çalıştırıp logları şablon bir rapora döküyor sonra da sızma testi yaptık diye fatura kesiyor. açıkçası ajansa kapsamı metodolojiyi ve raporda kaç saat manuel analiz yapacaklarını mutlaka sorun.

Kurumsal sözleşmelerde yer alan bilgi güvenliği maddeleri genellikle bağımsız akreditasyona sahip denetçiler tarafından yürütülen testleri zorunlu tutar. Kendi personelinizin düzenleyeceği bir iç değerlendirme raporu, olası bir veri ihlali durumunda hukuki sorumluluğunuzu hafifletmeyeceği gibi sözleşme ihlali gerekçesiyle tazminat doğurabilir.

Müşterinizin güvenlik anketine bakın. Orada açıkça üçüncü taraf bağımsız sızma testi yazıyorsa kendi aracınızla vakit kaybetmeyin. neyse ajansla pazarlık yaparken test kapsamındaki IP ve alan adı sayısını sınırlayın fiyatı 4.000 GBP bandına çekmeye çalışın.

Yazılımcı arkadaşınızın hevesini kırmayın ama bu aracı geliştirme aşamasında bi güvenlik ağı olarak konumlandırın... işte bağımsız teste girmeden önce kendi içinizde tarama yapıp basit açıkları kapatırsanız ajansın raporu temiz çıkar ve müşterinize çok daha prestijli bi rapor sunmuş olursunuz.

edit: telefondan yazdım, yazım hatalarım için kusura bakmayın.

kaydettim.

Buna tam katılamayacağım. Test edilmemiş bir yedek, yedek değildir.

Asıl mesele rakam değil, o rakamın neye göre çıktığı. Umarım işinize yarar.

bunu bilmiyordum bir de insanlar süreci değl alışkanlığı savunur... direnç oradan gelir.

kolay gelsin.

sonuna kadar katiliyorum. yani kayit tutmayan hic bi surec duzemliyor cunku neyi duzelteceginizi bilmiyorsunuz.

ummmarim isniize yarar.

Yukarıdaki cevap işin özünü söylemiş. Küçük bi deneme ile başlayın, tamamını bi anda bağlamayın.

Tecrübeyle sabit.

Geçen yıl neredeyse aynısını yaşadık. İkinci doğrulama açıksa çalınan parola tek başına işe yaramıyor.

Her şeyi aynı anda değiştirmeye çalışınca hiçbiri oturmuyor. Tecrübeyle sabit.

Bir uyarı bırakayım. Bunu tek başına yapmaya çalışmak en pahalı yol.

Otomatik tarama raporu ile sızma testi aynı şey değil. Kendi durumunuz farklıysa tabii değişir.

Takipteyim.

Geçen yıl neredeyse aynısını yaşadık. Unutulmuş test ortamları, canlı sistemden daha sık kapı oluyor.

Benim görüşüm bu, kesin doğru diye yazmıyorum.

ben de merak ediyorum.