Sızma testi nasıl yapılıyor, sürece baştan sona hakim olmadan teklif almak istemiyorum

İki günde bitiririz diyen firmalardan uzak durun. Muhtemelen arkada otomatik bir tarama yazılımı çalıştırıp çıkan PDF çıktısına kendi logolarını basıp verecekler. 14 kişilik bir ekibin yazdığı API ve paneller için kapsamlı bir gri kutu testi en az 5-7 iş günü sürer.

ek: aşağıda sorulmuş, cevabı ikinci mesajda yazdım.

Hazırlık aşamasında test ekibine sabit IP adreslerini sormalısınız. Kendi güvenlik duvarınızda ve web uygulaması güvenlik katmanınızda bu IP adreslerini beyaz listeye almanız gerekir. Aksi halde ilk dakikada güvenlik duvarınız test IP adresini engeller ve boş yere zaman kaybedersiniz.

Teklifleri kıyaslarken firmalara şu üç soruyu yazılı olarak iletin: 1) Test personeli hangi sektör sertifikalarına sahip ve testleri doğrudan onlar mı yürütecek? 2) Test yöntemi uluslararası standartlara göre mi kurgulanıyor? 3) Zafiyetler kapatıldıktan sonra ücretsiz doğrulama testi hakkımız var mı?

Geçen yıl benzer yapıda 2 web uygulaması ve 1 mobil uygulama için hizmet aldık. 65.000 TL ödedik, test 8 iş günü sürdü. Toplam 12 açık bulundu, 3 tanesi yetki aşımıyla ilgiliydi. Yazılımcılarımız açıkları 10 günde kapattı, ardından 2 günde doğrulama testi yapılıp rapor kapatıldı.

biz ilk yaptırdığımızda canlı veritabanında denediler neredeyse tüm test kayıtları birbirine girdi... kesinlikle canlı veritabanını testte kullandırmayın ya da birebir kopyasını oluşturup staging ortamında test ettirin yokssa canınız sıkılır.

Müşteriniz sizden test raporunun tamamını mı istiyor yoksa sadece yönetici özeti sayfasını mı? Bütün bulguların detayını içeren teknik raporu müşteriye vermek güvenlik politikası açısından risklidir, teklif alırken yönetici özeti formatını da talep edin.

Sözleşmeye mutlaka test saatlerini ve acil durum irtibat kişisini yazdırın. neyse sistemde beklenmedik bir kilitlenme veya aşırı yük oluştuğunda testi tek bir telefonla anında durdurabilecek bir koordinasyon hattınız olmalı.

yanlış anlamadıysam şunu diyorsunuz: Bizde en çok zaman kaybettiren şey, kimin karar verecğeinin belli olmamasıydı

uarım işiize yarar

Uzun süre bu işle uğraştım. İkinci doğrulama açıksa çalınan parola tek başına işe yaramıyor.

Tecrübeyle sabit.

Soracağım şey biraz acemice olacak, kusura bakmayın. Herkesin yaptığı şey, doğru olduğu anlamına gelmiyor.

Yanlışım varsa düzeltin.

Aynı hatayı yapmayın diye yazıyorum. İnsanlar süreci değil, alışkanlığı savunur. Direnç oradan gelir.

Yazılı olmayan her madde, ileride iki tarafın da farklı hatırladığı bir madde. Sonucu buraya yazarsanız başkalarına da faydası olur.

Bu cevabı okuyunca rahatladım, demek sadece bende değilmiş. İlk üç ay herşey iyi gider, sorun dördüncü ayda çıkar.

İlk üç ay her şey iyi gider, sorun dördüncü ayda çıkar. Sonucu buraya yazarsanız başkalarına da faydası olur.

Küçük bir işletmeyim, benim tarafımdan anlatayım. İzin ve kapsam yazılı değilse o test başlamasın.

Benim görüşüm bu, kesin doğru diye yazmıyorum.

Kendi tecrübemi yazayım. bu arada bir sorunu fark etme süreniz o sorunun maliyetini doğrudan belirliyor.

Sonucu buraya yazarsanız başkalarına da faydası olur.

kısmn katılıyorum, kısmen katılmıyorum.. bir de yani yanlış alarmı azarlarsanız bi daha kimse bildirmi yapmıyor

beinm gorusum bu kesin dogru diye yazmiyorum

sızma testi süreç adımları konusunda en çok atlanan nokta şu: Asıl mesele rakam değil o rakamın neye göre çıktığı.

Bunu tek başına yapmaya çalışmak en pahalı yol. Kolay gelsin.

detaya inrsek soyle: sizma testi surec adimlari tarafinda yapilan hata genelde geri donulebilir ama pahali

yanlş alarmı azarlarsanız bi daha kimse bildirim yapmıyor. tecrübeylle sabit

bizde şöyle oldu bir de ya öeme bilgisi değişikliği asla geldiği kanaldan doğrulanmaz

umam işiinize yarar