Sızma testi yaptırmamız söylendi — gerçek bir örnekle bu nedir, bize gerekli mi?

Kurumsal perakendeciler tedarikçi zinciri riskinden çok korkar. Sizin veritabanınızda onların mağaza veya ciro verisi duracaksa, yönetim kurullarına hesap veremezler. Otomatik bir zafiyet tarama aracının çıktısını sızma testi diye sunmaya kalkmayın, kurumsal güvenlik ekipleri ilk sayfadan anlar ve süreci baltalarsınız.

Benzer büyüklükte bir lojistik yazılımımız için geçen sonbaharda ilk kez yaptırdık. Test 4 iş günü sürdü, 3.200 GBP ödedik. Biri kritik olmak üzere toplam 6 açık buldular. Biz kodumuza çok güveniyorduk ama sunucu başlıklarında bıraktığımız bir sızıntıdan veritabanı sürümümüz açıkça okunabiliyordu. Bir haftada yamadık, müşteri raporu görünce sözleşmeyi hemen onayladı.

Kapsam sözleşmesi yaparken çok dikkatli olun. Bulut altyapınızın sunucu barındırma sağlayıcısını kapsama dahil etmeyin, sadece kendi yazdığınız kodları, yetkilendirme mekanizmalarını ve API'leri dahil edin. Aksi halde bulut sağlayıcısının servislerini taramaya kalkıp test süresini ve bütçenizi iki katına çıkarırlar.

Güvenlik firmalarının gönderdiği ilk tekliflere hemen atlamayın. yani bircok ajans 10.000 GBP gibi uçuk fiyatlar ister ve işin çoğunu otomatik araçlarla yapıp bırakır. Butik ve bağımsız çalışan sertifikalı kıdemli uzmanlardan 2-3 farklı teklif alın. Raporun uluslararası kabul gören metodolojilere göre yazılacağını teyit edin.

Yıllık 52.000 GBP gelir getirecek bi sözleşme için 3.000 GBP civarında bi test maliyeti kesinlikle karşılanması gereken bi satış edinme maliyetidir. Üstelik bu raporu aldıktan snra önümüzdeki 12 ay boyunca masaya oturacağınız diğer kurumsal müşterilere de güven kanıtı olarak sunabileceksiniz.

test sırasında sistemde açık buulnursa ve biz bunları hemen kapatamazsak ne oluyor? ya güvenliik firması raporu doğrudan müşteriye mi gönderiyor yoksa önce bize mi veriyor?

düzeltme: rakamı yanlış hatırlamışım, biraz daha düşüktü.

Sürecin standart akışı 4 adımdan oluşur: 1) Kapsam belirleme ve gizlilik sözleşmesi imzalanması, 2) Test ortamında (canlı verinin olmadığı klon sunucuda) saldırı simülasyonu, 3) Açıkların listelendiği ara raporun ekibinize teslimi ve düzeltmeler, 4) Düzeltmelerin doğrulanarak kuruma sunulacak nihai temiz raporun hazırlanması.

benim başımdan geçeni yazayım belki işinize yarar... valla olayların çoğu zafiyetten değil sızmış bi paroladan başlıyor.

tecrübeyle sabit.

Peki şunu nasıl çözdünüz? Bunu baştan yazılı hâle getirmezseniz sonra tartışma çıkıyor.

Kararı verirken elinizde hangi veri var, önce ona bakın. Bu kadar, uzattıysam kusura bakmayın.

sızma testi örneği tarafında bu kdr net konuşmak zor bence. Yanlış alarmı azarlarsanız bir daha kimse bildirim yapmıyor.

Ben olsam bu yoldan giderdim.

Bunu not aldım, teşekkürler.

Ben de merak ediyorum. Ölçmeden karar verince hep aynı yere geliyoruz.

Güvenli olmak mutlak değil; saldırıyı uğraşmaya değmez hâle getirmek demek. Başka türlü yapan varsa onu da merak ederim.

Yazdığınız için tşk. İlk kez yapıyorsanız küçük başlayın, ölçek sonra gelir.

sızma testi örneği konusunda acele eden herkes aynı yerde takılıyor. Tecrübeyle sabit.

Kısmen katılıyorum, kısmen katılmıyorum. Bir konuda üç farklı cevap alıyorsanız soru yanlış sorulmuştur.

Küçük ölçekte işe yarayan çözüm büyüyünce çöküyor, bunu geç öğrendim... Kendi durumunuz farklıysa tabii değişir.

Kendi tecrübemi yazayım. açıkçası sızma testi örneği konusunda acele eden herkez aynı yerde takılıyor.

Benim görüşüm bu kesin doğru diye yazmıyorum.

Katılıyorum, hatta altını çizmek isterim. Bunun cevabı sektöre göre çok değişiyor, genel geçer bir kural yok.

Kendi durumunuz farklıysa tabii değişir.

Emeğinize sağlık.

Yukarıdaki cevap işin özünü söylemiş. Karar verirken en kötü senaryoyu da yazın, sadece iyisini deil.

Ödeme bilgisi değişikliği asla geldiği kanaldan doğrulanmaz... Tecrübeyle sabit.