Yazılım müteahhidi sızma testi yerine statik kod analizi öneriyor, bu pentest yerine geçer mi?

Statik analiz sadece yazdığınız kod metnine bakar. Sunucunuzda yanlış yapılandırılmış bir port, güncellenmemiş bir web sunucusu yazılımı ya da bulut veri tabanında dışarıya açık bırakılmış bir erişim izni kodun içinde yer almaz. Bu zaafiyetler sadece uygulama canlı ortamda çalışırken pentest ile yakalanır.

Kazan'daki e-ticaret altyapımızda aynı hatayı yaptık. Müteahhit statik analiz raporu verdi, biz de müşteriye sunduk. Müşterinin denetim ekibi ilk iki saatte yönetici paneline şifresiz erişim keşfetti. Proje iki ay gecikti, üstüne apar topar 400.000 ruble verip dışarıdan pentest ekibi tuttuk.

Müşterinizle yaptığınız sözleşmedeki teknik şartname metninde tam olarak ne yazıyor? işte eğer doğrudan sızma testi veya bağımsız güvenlik denetimi ifadesi geçiyorsa, siz statik analiz raporu götürdüğünüzde hukuk veya denetim birimi bunu anında reddedecektir. Sözleşmedeki tam tanımı kontrol ettiniz mi?

İki yöntemi ayıran temel noktalar şunlardır: 1) Statik analiz kod çalıştırılmadan metin taramasıyla yapılır, pentest canlı sistem üzerinde dinamik uygulanır. 2) Statik araçlar iş mantığı açıklarını anlayamaz, pentest uzmanı sisteme insan aklıyla saldırır. 3) Müşteri denetimleri sadece bağımsız pentest raporunu resmi kanıt sayar.

Müteahhidin bu teklifi bana samimi gelmedi. Statik kod analizini piyasadaki açık kaynaklı veya standart bi tarayıcıya kodu yükleyip birkaç saat içinde otomatik rapor olarak alıyorlar. Tek bi butona basıp alacakları hazır rapor için 120.000 ruble istemeleri aşırı pahalı.

ek: aşağıda sorulmuş, cevabı ikinci mesajda yazdım.

Müşterinizin teknik yetkilisine doğrudan e-posta atın. Statik kaynak kod analizi raporunun kabul edilip edilmeyeceğini yazılı olarak sorun. Yüzde doksan ihtimalle pentest şart diyeceklerdir. Böylece müteahhide boş yere 120.000 ruble kaptırmaktan kurtulursunuz.

yazılımcılar bağımsız sızma testinden genellikle kaçınır çünkü başka bi teknik ekip gelip onların yaptığı işi ve sunucu kurulumundaki dikkatsizlikleri patrona belgeleriyle raporlar. bnc bütçeyi değl, kendi açıklarının ortaya çıkmasını düşünüyorlar.

biizm projdee de statik tarama yapildi sayfalarca gereksiz uyari cikti ama asil yetki acigini gormedi ama kurumsal musteri keisnlikle kabul etmez bosuna paranizi harcamayin.

karşı taraftan konuşayım ben tedarikçi tarafındayım. bu arada ilk üç ay herşey iyi gidder sorun dördüncü ayda çıkar.

Soracağım şey biraz acemice olacak, kusura bakmayın. Otomatik tarama raporu ile sızma testi aynı şey deil.

İlk üç ay herşey iyi gider sorun dördüncü ayda çıkar. Kolay gelsin.

Tartışma dağıldı toparlayayım... Sormaktan çekinmeyin sormayan hep daha pahalıya ödüyor.

Şunu yaşadıktan sonra bakışım değişti. İlk üç ay herşey iyi gider, sorun dördüncü ayda çıkar.

Otomatik tarama raporu ile sızma testi aynı şey değil. Benim görüşüm bu, kesin doğru diye yazmıyorum.

Kendi tecrübemi yazayım. Kayıt tutmayan hiçbir süreç düzelmiyor çünkü neyi düzelteceğinizi bilmiyorsunuz.

Bu kadar, uzattıysam kusura bakmayın.

Kafamdaki soru işareti kalktı, teşekkürler. Asıl mesele rakam değil, o rakamın neye göre çıktığı.

Kolay gelsin.

Acele etmeyin derim. Asıl mesele rakam değil, o rakamın neye göre çıktığı.

Bunu tek başına yapmaya çalışmak en pahalı yol. Not olarak bırakayım, lazım olur.

Buna katılıyorum. İzin ve kapsam yazılı değilse o test başlamasın.

statik kod analizi tarafında yapılan hata genelde geri dönülebilir ama pahalı. Kendi durumunuz farklıysa tabii değişir.

Kısmen katılıyorum, kısmen katılmıyorum. Kararı verirken elinizde hangi veri var, önce ona bakın.

Herkesin yaptığı şey, doğru olduğu anlamına gelmiyor. Ben olsam bu yoldan giderdim.

buna katılıyorum. kararı verirken elinizde hangi veri var, önce ona bakın.

bu kadar, uzattıysam kusura bakmayın.