Sabit fiyatlı standart sızma testi teklifi aldık, kapsamlı testten farkı tam olarak nedir?

Standart paketlerdeki asıl tehlike Broken Object Level Authorization dediğimiz nesne düzeyi yetki kontrolü açıklarının atlanmasıdır. Otomatik araçlar HTTP isteklerini rastgele parametrelerle dener ama bir lojistik panelinde A şirketinin irsaliyesini B şirketinin token değeriyle çekmeyi akıl edemez. Bu kontroller manuel yapılmak zorundadır.

Teklif veren iki firmaya da şu üç soruyu yazılı olarak iletin: 1) Test süresince kaç saatlik manuel istismar çalışması yapılacak? 2) API uç noktaları ve mobil arayüzler kapsama dahil mi? 3) Tespit edilen bulguların kapatılmasından sonra ücretsiz doğrulama testi (re-test) veriliyor mu? Yanıtlar aradaki farkı netleştirir.

Geçen sene Cidde'de benzer bir anlaşma için 14.000 SAR ödeyip standart paket aldık. Gelen 18 sayfalık raporun 15 sayfası genel bilgi ve otomatik tarama çıktısıydı. Karşı tarafın güvenlik ekibi raporu yetersiz bularak reddetti ve sonunda 32.000 SAR daha harcayıp kapsamlı test yaptırmak zorunda kaldık.

ucuz teklifi veren şirkete hiç sormadınız mı kapsam listesini?? valla muhtemelen bi IP aralığı girip aracı başlatacaklar üç gün sonra da PDF çıktısını teslim edecekler... müşterinizin güvenliiik yöneticisi biraz işi biliyorsa o rapor masadan döner

standart olanlar genelde buton testi gibi kalıyor ve kaynak kodu veya api dokümanı istemedilrse zaten otomatik taratıp geçecekler üç günde manuel test bitmesi imkansız.

Karşı tarafın bilgi güvenliği yöneticisine kapsam belirleme dokümanını (scoping document) önceden gönderin. Hangi test türünü kabul ettiklerini yazılı teyit ettirmeden hiçbir firmaya ödeme yapmayın.

Müşteriyle yaptığınız gizlilik ve hizmet sözleşmesinde sızma testinin kapsamı nsl tarif edilmiş? Siyah kutu mu beyaz kutu mu isteniyor? Ayrıca sisteminizde ödeme alma veya hassas müşteri verisi barındırma var mı?

İlk B2B müşterimizde masraftan kaçıp hazır paket test aldık sistem temiz çıktı diye sevindik... İki ay sonra müşterinin muhasebecisi URL parametresini değiştirerek rakip firmanın nakliye faturalarını indirdiğini fark etti. bu arada o gün standart testin sadece bi illüzyon olduğunu anladık.

Sonucu yazarsanız sevinirim. Sormaktan çekinmeyin, sormayan hep daha pahalıya ödüyor.

Kayıt tutmayan hiçbi süreç düzelmiyor, çünkü neyi düzelteceğinizi bilmiyorsunuz. Ben olsam bu yoldan giderdim.

Bir sorum olacak, konudan sapmak istemem ama. Kararı verirken elinizde hangi veri var, önce ona bakın.

Bunun cevabı sektöre göre çok değişiyor genel geçer bir kural yok. Umarım işinize yarar.

katiliyorum

Bu başlığı açtığınız iyi olmuş.

Bunu yaparken bakılacak üç şey var. Her şeyi aynı anda değiştirmeye çalışınca hiçbiri oturmuyor.

Not olarak bırakayım, lazım olur.

doğru bir de işte küçük bi deneme ile başlayın, tamamını bi anda bağlamayın.

kloay gelsin.

İki yıl önce aynısını yaşadım. Test edilmemiş bir yedek, yedek değildir.

Asıl mesele rakam değil, o rakamın neye göre çıktığı.

bir şey sormak istiyorum. iki hafta boyunca not tutmak altı aylık tahminden iyi sonuç veriyor.

not olarak bırakayım, lazım olur.

Takipteyim.

Bunu biraz açabilir misiniz? İkinci doğrulama açıksa çalınan parola tek başına işe yaramıyor.

Sorunuz olursa yazın, elimden geldiğince cevaplarım.