Sızma testi 40 açık buldu — hepsinin kapatılmasını takip için araç almamız gerekir mi?

O lisans teklifini doğrudan reddedin. 40 madde gözünüzü korkutmasın; önce sadece kritik ve yüksek olanlara odaklanın. Muhtemelen bir haftalık geliştirici mesaisiyle en riskli yüzde seksenlik kısmı çözersiniz. Kalan düşük seviyeli maddeleri de sonraki sprintlere birer ikişer dağıtın gitsin.

Biz 20 kişilik ekibimizde geçen sene 38 bulgulu bir rapor aldık. Danışman bize de benzer bir yazılım satmaya çalıştı, almadık. Mevcut bilet sistemimizde özel bir etiket açtık. 45 gün içinde 34 tanesini kapattık, kalan 4 düşük seviyeyi risk kabulü yaptık. Sıfır ek maliyetle denetimden geçtik.

Testi yapan firmanın hemen arkasından 6.000 dolarlık araç önermesi klasik bir ek satış hamlesi. Muhtemelen o yazılımın iş ortağı veya bayisidirler ve satış başına komisyon alıyorlar. 14 kişilik şirketin böyle bir araca bütçe ayırması tamamen kaynak israfı olur.

Mevcut sisteminize aktarırken dikkat etmeniz gereken teknik detay şu: Geliştiricilere sadece 'X zafiyetini kapat' demeyin. Rapordaki zafiyet puanını, etkilenen URL veya kütüphane sürümünü ve istismar adımlarını bilet açıklamasına ekleyin. Aksi halde yazılımcı kapattım der ama sadece parametre adını değiştirip açığı açık bırakabilir.

Test sözleşmenizde 're-test' yani tekrar test maddesi var mı? Varsa süresi nedir? Çoğu sözleşmede düzeltmeler için 30 veya 60 günlük ücretsiz doğrulama süresi bulunur. Eğer varsa aracın yapacağı teyit işini zaten sözleşme kapsamında danışmana yaptırabilirsiniz.

biz basit bi e-tablo ile çözdük durumu. sütunlara zafiyet adı, seviyesi atanan yazılımcı ve durum yazdık ve haftada bi 15 dakika toplantı yapıp ilerlemeyi konuştuk iki ayda bitti hepsi. hiç gerek yok o paralara.

Müşterileriniz veya regülasyonlar sizden zafiyet takip aracı kullanmanızı zorunlu kılmaz. Denetçilerin baktığı tek husus, bulunan açıkların belgelenmiş bir süreçle kapatıldığı ve kapatmanın teknik olarak doğrulandığına dair kayıtların tutulmasıdır. Mevcut bilet geçmişiniz bu gereksinimi fazlasıyla karşılar.

Genel görüş oldukça net: 1) 6.000 dolarlık aracı almayın, 2) Mevcut proje takip aracınızda güvenlik etiketiyle görevler açın, 3) Sözleşmenizdeki ücretsiz tekrar test hakkını kontrol edip doğrulama için onu kullanın. Ekstra yazılım sadece iş yükünüzü artırır.

Kavramları ayıralım, karıştırılıyor. açıkçası unutulmuş test ortamları canlı sistemden daha sık kapı oluyor.

Kendi durumunuz farklıysa tabii değişir.

Evet, açık giderme araçları konusunda durum aynen böyle. Otomatik tarama raporu ile sızma testi aynı şey dgl.

Sonucu yazarsanız sevinirim. Kayıt tutmayan hiçbi süreç düzelmiyor, çünkü neyi düzelteceğinizi bilmiyorsunuz.

Yanlışım varsa düzeltin.

Bir uyarı bırakayım. Otomatik tarama raporu ile sızma testi aynı şey değil.

Küçük bi deneme ile başlayın tmmını bi anda bağlamayın... bu arada not olarak bırakayım, lazım olur.

Bu kadar açık anlatan yazı az bulunuyor. Zaman kaybının çoğu onay bekleyen işlerde birikiyor.

Konuyu toparlayayım, çünkü birkaç farklı cevap verildi. Acele karar, altı ay sonra düzeltilen karar oluyor.

Herkesin yaptığı şey, doğru olduğu anlamına gelmiyor. Yanlışım varsa düzeltin.

Emeğinize sağlık. Bunu baştan yazılı hâle getirmezseniz sonra tartışma çıkıyor.

Sonucu buraya yazarsanız başkalarına da faydası olur.

Tartışma dağıldı, toparlayayım. Küçük ölçekte işe yarayan çözüm büyüyünce çöküyor, bunu geç öğrendim.

Bir konuda üç farklı cevap alıyorsanız soru yanlış sorulmuştur. Başka türlü yapan varsa onu da merak ederim.

Bir sorum olcak konudan sapmak istemem ama. Yazılı olmayan her madde, ileride iki tarafın da farklı hatırladığı bir madde.

Asıl mesele rakam değil, o rakamın neye göre çıktığı. Sorunuz olursa yazın, elimden geldiğince cevaplarım.

Bende tam tersi oldu, o yüzden yazıyorum. valla bir konuda üç farklı cevap alıyorsanız soru yanlış sorulmuştur.

Ben olsam bu yoldan giderdim.