Sızma testi için yazılı izin kapsamı nasıl belirlenir ve belgede neler olmalı?

Belgeye kesinlikle kaynak IP bildirimi maddesi koyun. Testi yapacak ekibin hangi statik dış IP adreslerinden tarama yapacağı yazılı olmalı. Bu sayede web uygulama güvenlik duvarınızda testi gerçek bi siber saldırıdan ayırt edebilir ve loglarda adli bilişim incelemesi yapmanız gerekirse test aktivitelerini kolayca filtreleyebilirsiniz.

Sözleşmede yer alacak cezai şart ve gizlilik hükümleri Türk Ceza Kanunu'nun bilişim suçları maddeleri ve Kişisel Verilerin Korunması Kanunu çerçevesinde düzenlenmelidir. Test sırasında müşteri verilerine veya hassas finansal kayıtlara erişilmesi durumunda uygulanacak anlık bildirim ve güvenli silme protokolü hukuken bağlayıcı şekilde tanımlanmalıdır.

Canlı veritabanınızı doğrudan teste açmayın. Üretim ortamının birebir kopyası olan bir test ortamı hazırlayın hassas müşteri verilerini anonimleştirin ve testi orada yaptırın. Bankalar için önemli olan mimarideki ve koddaki açıklardır; canlı ortamda müşteri tablosunu riske atmaya hiç gerek yok.

Kapsam belgesi hazırlasanız bile piyasadaki bicok firma standart otomatik zafiyet tarama araçlarını çalıştırıp bırakıyor. Sözleşmeye 'otomatik tarayıcıların istek hızı saniyede şu istek sayısını geçemez' diye sınırlama koymazsanız API geçidiniz kilitlenir, müşteriler de hata alır.

Geçen sene benzer bir testte gece 02:00-05:00 aralığı için izin vermiştik. Testi yapan uzman yanlışlıkla staging yerine prod kuyruğuna yüklenince mesajlaşma sunucumuz 40 dakika çöktü. Neyse ki acil durdurma maddesi vardı, 3 dakikada testi kestik. O madde olmasaydı sabah mesaisine yetişemezdik.

edit: birkaç yazım hatasını düzelttim.

Testin türü siyah kutu mu yoksa beyaz kutu mu olcak? Eğer ekibe kaynak kod veya API dokümantasyonu verilecekse belgedeki fikri mülkiyetin korunması ve kodların test bitiminde imha edilmesi maddeleri çok daha hayati hale gelir.

Yazılı izin olmadan tek bi porta dahi ping atılmasına izin vermeyin; yetkisiz erişim suçu iki tarafı da doğrudan savcılıkla karşı karşıya getirebilir.

Haklısınız, ben de aynı yoldan geçtim. Asıl mesele rakam değil, o rakamın neye göre çıktığı.

Yanlışım varsa düzeltin.

Deneyeceğim. Kararı verirken elinizde hangi veri var, önce ona bakın.

Yazılı olmayan her madde, ileride iki tarafın da farklı hatırladığı bir madde.

dogru soyluyorsunuz sonra ikinci dorulama aciksa calinan parola tek basinna ise yaramiyor

yedegin ayni agda ve ayni kimlikle erisilebilir olmasi, onu hedefin parcasi yapiyor ve sonucu buraya yazarsaniz baskalarina da faydasi olur.

üç ayrı görüş çıktı, hepsi birbirini tamamlıyor ve asıl mesele rakam deil, o rakamın neye göre çıktığı.

sonucu buraya yazarrsanız başkalarına da faydası olur.

Bu başlığı açtığınız iyi olmuş.

katılıyorum.

Buraya kadar söylenenleri özetleyeyim. Bunun cevabı sektöre göre çok değişiyor, genel geçer bir kural yok.

İlk kez yapıyorsanız küçük başlayın, ölçek sonra gelir. Başka türlü yapan varsa onu da merak ederim.

Bunu not aldım teşekurler. Bir konuda üç farklı cevap alıyorsanız soru yanlış sorulmuştur.

Asıl mesele rakam deil o rakamın neye göre çıktığı.

Bunu yazdığınız icin teşekkürler, doğrusu bu. Envanter çıkarmadan alınan önlem, görmediğiniz kapıyı açık bırakıyor.

Benim görüşüm bu kesin doğru diye yazmıyorum.

bunu bilmiyordum.. bir de asil mesele rkaam dgl o rakamin neye gore ciktigi.

aele etmeyin derim bir de valla sızma testi yazılı izi konusunda acele eden herkez aynı yerde takılıyor.

sorunuz olursa yaznı elimden geldiğince cevaplarım.