Sızma testi bulgularını geliştiriciye nasıl aktarmalıyız — hangi belge ve öncelik sırası?

Rapordaki CVSS puanı her zaman gerçek riski yansıtmaz. Örneğin içeride admin panelinde kalan bir XSS açığı yüksek puan almış olabilir ama internete açık login ekranındaki zayıf parola politikası orta puanlıdır. Önce doğrudan dışarıdan sömürülebilen ve veri sızdıran açıkları öne alın.

Her biletin içine açığı yeniden üreten adımları birebir yapıştırın. Yazılımcı açığı kendi yerel ortamında tetikleyemezse o hatayı kapatamaz, 'bende çalışıyor' deyip bileti geri çevirir.

Geçen sene gelen 110 sayfalık raporu yazılımcılara toplu e-posta ile attım... bu arada iki ay sonra denetim geldiğinde hiçbir şeyin yapılmadığını gördük çünkü herkez işi diğerinin yapacağını sanmıştı... Tek tek bilet açıp kişilere zimmetlemedikçe o rapor okunmuyor.

yazılımcıya pdf atmak yapılacak en büyük hata ama kimse oturup 80 sayffa güvenlik edebiyatı okumaz. bilet sistemine url ve parametreyi yazıp atayın geçin.

Test firmalarının raporlarına da körü körüne güvenmeyin. Sayfa sayısı artsın diye otomatik tarayıcı çıktısı olan 10 tane 'sürüm bilgisi ifşası' gibi önemsiz bulguyu yüksek gösterip yazılımcıları gereksiz meşgul edebiliyorlar.

Şirket içi bilgi güvenliği prosedürünüze bir düzeltme SLA tablosu eklemeniz gerekir. Kritik bulgular 3 gün, yüksek bulgular 15 gün, orta seviye bulgular ise 45 gün içerisinde kapatılacak şekilde yazılı taahhüt altına alınmalıdır.

bizim de yakinda testimiz var yazilimcilar acigi kapatinca test firmasi bunlari ucretsiz kontrol ediyor mu yoksa tekrar faura mi kesiyorlar??

Yazılım ekibiyle test firmasını tek bi toplantıda yüzleştirin yarım günde tüm bulgular netleşir.

Konuyu toparlayayım çünkü birkaç farklı cevap verildi... valla kararı geri almak ne kdr zorsa o kdr yavaş verin.

Umarım işinize yarar.

Acele etmeyin derim. Küçük ölçekte işe yarayan çözüm büyüyünce çöküyor, bunu geç öğrendim.

anlamadigim bi yer var. neyse envanter cikarmadan alinan onlem, gromediginiz kapiyi acik birakiyor.

benim gorusum bu kesin doggru diye yazmiyorum.

socnuu yazarsaniz sevinirim.

Bir dönem biz de aynı yerde takıldık. Tek bi önleme güvenmeyin; katman katman gidin.

Kolay gelsin.

kendi tecrübemi yazayım. envanter çıkarmadan alınan önlem, görmediğiniz kapıyı açık bırakıyor.

kendi duurmunuz farklıysa tabii değişir.

Sırayla gitmek lazım. ya her şeyi aynı anda değiştirmeye çalışınca hiçbiri oturmuyor.

katılıyorum hatta altını çizmek isterim ama asıl mesele rakam dgl, o rakamın neye göre çıktığı.

bizde en çok zaman kaybettiren şey kimin karar vereceğinin belli olmamasıydı. yanlışım varsa düzeltin.

Sırayla gitmek lazım. İkinci doğrulama açıksa çalınan parola tek başına işe yaramıyor.

Not olarak bırakayım, lazım olur.

Bunu not aldım, teşekkürler. sızma testi bulguları teslim tarafında yapılan hata genelde geri dönülebilir ama pahalı.