Sitemde ücretsiz açık tarama sitelerini denedim — onlarca açık çıktı, hangilerini gerçekten düzeltmem lazım?

Ücretsiz tarayıcılar yalnızca dışarıdan bakıp HTTP yanıtlarına bakar. Örneğin sunucunuzun döndürdüğü yanıtta PHP veya sunucu sürümü görünüyorsa bunu hemen orta riskli açık yazar. Bu bir zafiyet değil, sadece bilgi ifşasıdır. Gerçekten o sürümde doğrulanmış bir açık yoksa para harcamanıza değmez.

Geçen sene benzer bir panikle 35 uyarılık bir rapor için dışarıya 1.600 AED ödedik. İş bittiğinde baktık ki çözülen şeylerin 28 tanesi sadece sunucuya eklenen üç satırlık güvenlik başlığıymış. Gerçek risk taşıyan tek bir eklenti açığı vardı, onu da zaten eklentiyi güncelleyerek bedavaya kapatabilirdik.

Raporu açın ve arama çubuğuna şunları yazın: 'Injection', 'XSS' 'Bypass' 'Arbitrary File'. Bu kelimeleri içeren satırları işaretleyin, toplamda belki 3-4 madde kalacaktır. Uzmanınıza sadece bu maddelerin doğrulanmasını ve kapatılmasını söyleyin. Kalanları şimdilik göz ardı edebilirsiniz.

Ücretsiz tarama sitelerinin amacı genelde kullanıcıyı korkutup kendi ücretli derin tarama veya danışmanlık paketlerini satmaktır. Sayfanın altına bakarsanız genelde raporun yanında 'bunu tek tıkla profesyonelce çözün' teklifleri yer alır... açıkçası her kırmızı renkle gösterilen maddeye inanmayın.

Siteniz WordPress benzeri hazır bir CMS mi yoksa tamamen özel yazılmış bir sistem mi? Bir de ödeme alırken kredi kartı bilgilerini kendi sunucunuzda mı tutuyorsunuz yoksa ödeme sağlayıcısının ortak ödeme sayfasına mı yönlendiriyorsunuz? Risk analizi buna göre tamamen değişir.

Sakin olun, siteniz şu an aktif olarak saldırı altında değilse panikle hareket etmeyin. Otomasyon araçları her eksik başlığa puan kırar. Web dünyasında yüzde yüz uyarısız site neredeyse yoktur. Önceliğiniz her zaman müşteri veritabanı, yönetici şifreleme mekanizması ve form alanları olmalıdır.

Rapordaki maddelerin yanında genellikle 'CVE' veya 'CWE' kodları olur. Anlamadığınız maddeleri doğrudan o kodla internette aratın. Açığın pratikte ne işe yaradığını birkaç Türkçe veya İngilizce forum yazısından okursanız yazılımcının karşısına çok daha bilinçli çıkarsınız.

deneyeceğim.

Doğru. İlk üç ay her şey iyi gider, sorun dördüncü ayda çıkar.

Bunu baştan yazılı hâle getirmezseniz sonra tartışma çıkıyor. Sorunuz olursa yazın, elimden geldiğince cevaplarım.

Yanlış anlamadıysam şunu diyorsunuz: Karar verirken en kötü senaryoyu da yazın, sadece iyisini değl.

Bir konuda üç farklı cevap alıyorsanız soru yanlış sorulmuştur. Ben olsam bu yoldan giderdim.

Buraya kadar söylenenleri özetleyeyim. Herkesin yaptığı şey, doğru olduğu anlamına gelmiyor.

Bizde en çok zaman kaybettiren şey, kimin karar vereceğinin belli olmamasıydı. Sorunuz olursa yazın, elimden geldiğince cevaplarım.

bi donem biz de ayni yerde takildik ve valla asil mesele rakam dgl, o rakamin neye gore ciktigi

acik tarama sitesi konusunda aclee eden herkez ayni yerde takiliyor bir de bu kadar uzattiysam kussura bakmayin.

Katılıyorum. Unutulmuş test ortamları, canlı sistemden daha sık kapı oluyor.

Bu kadar, uzattıysam kusura bakmayın.

Yanlış anlamadıysam şunu diyorsunuz: Kayıt tutmayan hiçbir süreç düzelmiyor, çünkü neyi düzelteceğinizi bilmiyorsunuz.

Evet, açık tarama sitesi konusunda durum aynen böyle. Yanlış alarmı azarlarsanız bir daha kimse bildirim yapmıyor.

Olayların çoğu zafiyetten değil, sızmış bir paroladan başlıyor.

Uzun süre bu işle uğraştım. açıkçası yedeğin aynı ağda ve aynı kimlikle erişilebilir olması onu hedefin parçası yapıyor.

Umarım işinize yarar.

Bunu bilmiyordum. Ölçmeden karar verince hep aynı yere geliyoruz.

Acele karar, altı ay sonra düzeltilen karar oluyor. Sorunuz olursa yazın, elimden geldiğince cevaplarım.

açık tarama sitesi konusunda hiç tecrübem yok, o yüzden soruyorum. Asıl mesele rakam değil, o rakamın neye göre çıktığı.

Ben olsam bu yoldan giderdim.