Sızma testi raporunu teknik tablolarla PDF aldık, bunu düzeltme listesine nasıl çeviririz?

Sayfa sayısının kalınlığına bakıp gözünüz korkmasın. 75 sayfanın en az 50 sayfası standart otomatik tarayıcı araçlarının çıktıları ve kopyala-yapıştır yapılmış genel tanım metinleridir. Testi yapan firmalar fatura kabarsın ve kurumsal görünsün diye aynı güvenlik başlığı uyarısını elli farklı sayfada ayrı bulgu gibi gösterir.

Biz benzer bir raporda 42 bulgu almıştık. Panikle tüm sprinti durdurmak üzereydik, sonra detaylı inceleyince 42 maddenin 28 tanesinin sadece bilgi ve düşük seviyeli başlık eksikliği olduğunu gördük. Gerçekten veri güvenliğini tehdit eden sadece iki yetkilendirme mantığı hatası vardı ve onları üç günde çözdük.

Hemen test firmasıyla 45 dakikalık bir rapor kapanış toplantısı ayarlayın. bu arada sözleşmenizde bu hak mutlaka vardır. Ekran paylaşımı açıp geliştiricilerinizle birlikte rapordaki yüksek bulguları canlı canlı onların ağzından dinleyin; yazılımcılarınız doğrudan bu açığı nasıl tetiklediklerini sorsun.

CVSS taban puanı her zaman gerçek riski yansıtmaz. Örneğin saldırganın halihazırda sisteme giriş yapmış yetkili bir kullanıcı olmasını gerektiren bir bulgu ile kimlik doğrulaması gerektirmeyen bir uzaktan kod çalıştırma açığının puanı benzer çıkabilir. Önceliği mutlaka dışarıdan, hiçbir şifre gerekmeden tetiklenebilen açıklara verin.

bizim ekipte de olmuştu bu pdf tablosunu çalışma sayfasına kopyalayıp yanına durum geliştirici adı ve tahmini efor kolonları açtık... ya tek tek kapatıp test firmasına retest açtık iki haftada bitti.

Anlaşma yapacağınız hastane grubunun denetçileri için önemli olan tek şey tüm bulguların sıfırlanmış olması değildir. Kritik açıkların kapatıldığını, düşük risklerin ise makul bir düzeltme takvimine bağlandığını gösteren resmi bir düzeltme planı sunmanız kurumsal onay için genellikle yeterlidir.

İlk kez sızma testi raporu aldığımızda hepimiz kendimizi çok yetersiz hissetmiştik; sanki yazdığımız tüm kod delik deşikmiş gibi bi psikoloji oluşuyor. neyse ancak zamanla öğrendik ki sızma testinin doğası gereği uzmanlar bulabildikleri en küçük konfigürasyon detayını bile rapora yazmak zorundalar. Ekibinizin moralini bozmayın maddelerin çoğunun on dakikalık sunucu ayarı olduğunu göreceksiniz.

Bir şey sormak istiyorum. İlk üç ay herşey iyi gider, sorun dördüncü ayda çıkar.

Bunu baştan yazılı hâle getirmezseniz sonra tartışma çıkıyor.

Üç ayrı görüş çıktı, hepsi birbirini tamamlıyor. Yazılı olmayan her madde, ileride iki tarafın da farklı hatırladığı bi madde.

Ben olsam bu yoldan giderdim.

acele etmeyin derim. asıl mesele rakam değl o rakamın neye göre çıktığı.

ben olsam bu yoldan giderdim.

Bunun bi de ölçüm tarafı var. Yedeğin aynı ağda ve aynı kimlikle erişilebilir olması onu hedefin parçası yapıyor.

Acele etmeyin derim. Kayıt tutmayan hiçbi süreç düzelmiyor, çünkü neyi düzelteceğinizi bilmiyorsunuz.

Bu kadar, uzattıysam kusura bakmayın.

Buraya kadar söylenenleri özetleyeyim. Olayların çoğu zafiyetten değil, sızmış bir paroladan başlıyor.

Güvenli olmak mutlak değil; saldırıyı uğraşmaya değmez hâle getirmek demek. Bu kadar, uzattıysam kusura bakmayın.

Benim başımdan geçeni yazayım belki işinize yarar. Envanter çıkarmadan alınan önlem görmediğiniz kapıyı açık bırakıyor.

Yanlışım varsa düzeltin.

su noktada ayriliyorum sizden... yani her seyi ayni anda degistirmeye calisinca hicbiri oturmuyor.

beenim gorusum bu kesin doogur diye yazmiyorum

Doğru.

sızma testi raporu tarafında bu kadar net konuşmak zor bnc. Ödeme bilgisi değişikliği asla geldiği kanaldan doğrulanmaz.

Kolay gelsin.

bizde de aynı. bunu tek başına yapmaya çalışmak en pahalı yol.

güvenli olmak mutlak değil; sldırıyı uğraşmaya değmez hâle getirmek demek... benim görüşüm bu, kesin doğru diye yazmıyorum.