Sızma testi raporu kaç günde gelmeli — örnek rapor üzerinden ne görmeliyim?

Örnek raporda özellikle 'PoC' yani Proof of Concept bölümünü inceleyin. Gerçek bir sızma testinde uzman açığı bulduktan sonra yetkisiz veri çekebildiğini veya komut çalıştırabildiğini ekran görüntüsüyle kanıtlamak zorundadır. Otomatik tarayıcıların ürettiği sahte alarmları (false positive) rapordan temizlememiş firmalarla vakit kaybetmeyin.

Hizmet sözleşmesine mutlaka şu maddeleri yazdırın: 1) Kritik ve yüksek seviyeli bulgular tespit edildiği anda 24 saat içinde e-posta ile ara bildirim yapılacaktır, 2) Taslak rapor test bitiminden sonra en geç 5 iş günü içinde iletilecektir, 3) Bulguların kapatılmasını takiben 30 gün içinde bir defaya mahsus ücretsiz doğrulama testi (re-test) yapılacaktır.

Geçen ay mobil ve API testimiz bitti. Saha testi cuma akşamı tamamlandı, salı sabahı taslak rapor elimizdeydi. 4 kritik açık vardı; geliştirme ekibimiz bunları 10 günde kapattı ve firma ertesi gün doğrulama testini yapıp temiz nihai raporu verdi. 15 iş günü rapor beklemek tüm düzeltme takviminizi kilitler.

15 iş günü diyen firmaya 'kritik bulgular icin günlük ara raporlama şartı' koyun. neyse eğer bunu kabul etmiyorlarsa doğrudan eleyin... Çünkü pentest sırasında veritabanı enjeksiyonu veya uzaktan kod çalıştırma gibi açıklar çıkarsa iki hafta o açığı kapatmadan beklemek ticari intihardır.

3 günde rapor teslim eden yerlerin bi kısmı da test devam ederken raporu yazmıyor; otomatik tarama aracının 'PDF olarak dışa aktar' butonuna basıp kapağına logonuzu koyuyor. Sürenin kısalığı kdr raporun elle yazılmış ekibinize özel analizler içerip içermediğini örnek rapordan teyit edin.

ornek rapor vermeyen firmayla masaya bile oturmayin derim. iceride ne cikacagini bilmeden sozlesme yapilmaz. kurumsal firmalar zaten musteriden izin alip karartilmis orneklei hazirda tutar.

Sözleşmede 'doğrulama testi' (re-test) süresine de çok dikkat edin. Rapor geldikten snra açıkları kapatmanız zaman alacak. Firmanın rapor tesliminden snra en az 30 veya 45 gün boyunca sistemleri tekrar ücretsiz denetleme taahhüdü vermesi projenin sağlığı icin çok kıymetlidir.

test 5 gün sürüp raporu 15 günde veriyorlarsa muhtemelen testi yaan mühendis raporu yazmak yerine bakşa bi müşterinin sunucusuna sızmakla meşguldür.. sonra kritik açığınız varsa siz iki hafta snra öğrenene kdr internetteki tarama btları çoktan keşfeder.

Kesinlikle. Üstüne bir şey eklemek gerekirse: Bizde en çok zaman kaybettiren şey, kimin karar vereceğinin belli olmamasıydı.

Küçük ölçekte işe yarayan çözüm büyüyünce çöküyor, bunu geç öğrendim. Not olarak bırakayım, lazım olur.

Kusura bakmayın da bu her durumda geçerli değil. Yedeğin aynı ağda ve aynı kimlikle erişilebilir olması, onu hedefin parçası yapıyor.

Burada bir itirazım var. Kararı verirken elinizde hangi veri var önce ona bakın.

Kararı verirken elinizde hangi veri var, önce ona bakın. Başka türlü yapan varsa onu da merak ederim.

Bunu not aldım, teşekurler.

Tam zamanında bir konu. valla kararı geri almak ne kadar zorsa o kadar yavaş verin.

Sorunuz olursa yazın, elimden geldiğince cevaplarım.

Bir şey sormak istiyorum. İnsanlar süreci değil, alışkanlığı savunur. Direnç oradan gelir.

Benim görüşüm bu, kesin doğru diye yazmıyorum.

haklisiniz. ya karari geri almaak ne kadar zosa o kadar yavas verin

bi şey sormak istiyorum. neyse bildirim yolu uzunsa bildirim gelmiyor; gelmeyen bildirim geç fark edilen olay demek

tek bi onleme guvenmeyin; katman katman gdin snra iste sorunuz olursa yazin elimden geldigince cevaplarim

Çok teşekkürler, bugün deneyeceğim. Bunu baştan yazılı hâle getirmezseniz sonra tartışma çıkıyor.

Otomatik tarama raporu ile sızma testi aynı şey değil. Kolay gelsin.

emeğiize sağlık.