Sızma testi raporu '30 gün içinde giderilsin' diyor — zafiyet giderme bizim açımızdan ne demek?

Rapordaki CVSS puanlarına dikkat edin. 7.0 ve üzeri olan bulgular yüksek veya kritiktir. Genelde kimlik doğrulama zafiyetleri ve eski kütüphanelerden kaynaklanan bilinen açıklar bu puanı alır. Yazılımcılarınız doğrudan kütüphane güncellemeleri ve girdi doğrulama filtreleri üzerine yoğunlaşmalıdır.

Biz de benzer bir denetimden geçtik. 12 bulgudan 4'ü yüksekti. Yazılımcılarımız iki hafta boyunca tüm geliştirme işlerini durdurup sadece bunlara odaklandı. Altyapıdaki 3 bulguyu bulut sağlayıcısının güvenlik duvarı kurallarıyla 2 günde kapattık. Test firması 5 gün snra doğrulama testini yapıp temiz raporu verdi.

Müşterinin 30 günde hepsini kapatın demesi biraz bürokratik bi refleks. Raporun içindeki düşük seviyeli bilgi ifşası ya da versiyon bilgisi görünmesi gibi maddeler operasyonel bi risk yaratmaz. Enerjinizi müşteriyi gerçekten etkileyecek veri sızıntısı risklerine harcayın.

Hemen sızma testini yapan firmayla irtibata geçin ve sözleşmenizde tekrar test hakkı olup olmadığını teyit edin. Varsa, düzeltmeleri tamamlayıp testi tetiklemek için son tarihin ne olduğunu takviminize net olarak not edin.

Zafiyet gidermede izlenecek temel adımlar: 1) Bulguları kod açığı ve sunucu/ağ açığı olarak ikiye ayırın, 2) CVSS puanı 7 ve üzeri olanlara öncelik verin, 3) Kodda düzeltilen her açık için yazılımcılarınızın bir test senaryosu çalıştırmasını sağlayın, 4) Düzeltme tamamlanınca test firmasından resmi doğrulama mektubu talep edin.

ilk kez bu kadar kaln bi rapor gorunce insan panikleyebiliyor gayet normal. acikcasi rapoun yarisi zaten ekran goruntuleri ve genel tanimlardir. oturup sakin kafayla baktiginizda yazilimcilarinizin 1-2 haftada temizleyebilecegi mantik hatalari oldugunu goreceksiniz.

suucu tarafındaki işler genelde konfigürasyondan ibaret oluyor ama kod tarafındaki mantık hataaları zaman alabilir. ya test firmasına doğrudan soru sormaktan çekinmeyin, bulgunun detayınnı izah etmek zorundalar.

Özetle; kodu sizin ekip düzeltecek, sunucu ayarlarını bulut panelinden yapacaksınız. 30 günde yüksekleri kapatıp ara çözüm ürettiklerinizi açıklayacaksınız ve işin sonunda aynı güvenlik şirketine tekrar test yaptırıp müşteriye temiz doğrulama yazısı vereceksiniz.

düzeltme: rakamı yanlış hatırlamışım, biraz daha düşüktü.

Bir uyarı bırakayım. İlk kez yapıyorsanız küçük başlayın, ölçek sonra gelir.

Ben olsam bu yoldan giderdim.

Bunu duyalı çok oldu ama bizde hiç böyle olmadı. Ölçmeden karar verince hep aynı yere geliyoruz.

Ben olsam bu yoldan giderdim.

buradan gidecekseniz sunu bastan halledin. ya acele karar alti ay snra duzeltileen karar oluyor

ben olsam bu yoldaan giderdim.

Kendi tecrübemi yazayım. yani asıl mesele rakam değl o rakamın neye göre çıktığı.

Kendi durumunuz farklıysa tabii değişir.

Aynı durumdayım o yüzden soruyorum. Küçük ölçekte işe yarayan çözüm büyüyünce çöküyor bunu geç öğrendim.

Herkesin yaptığı şey, doğru olduğu anlamına gelmiyor. Ben olsam bu yoldan giderdim.

Detaya inersek şöyle: Küçük bi deneme ile başlayın, tamamını bi anda bağlamayın.

zafiyet giderme nedir knsunda hic tecrubem yok, o yuzden soruyorum. iste kucuk bi deneme ile baslayin tmmini bi anda baglamayin

sounuz olursa yazin eiden geldigince cevaplarim

Aynen öyle, üstelik bu kadar bilinmiyor. İkinci doğrulama açıksa çalınan parola tek başına işe yaramıyor.

Bu kadar uzattıysam kusura bakmayın.

Takipteyim.

Tartışma dağıldı, toparlayayım. Küçük ölçekte işe yarayan çözüm büyüyünce çöküyor, bunu geç öğrendim.

Yanlışım varsa düzeltin.