Web uygulaması sızma testi araçlarını alıp kendimiz mi deneyelim, yoksa birine mi yaptıralım?

Otomatik araçların en büyük açmazı parametre manipülasyonu ve bağlam gerektiren süreçlerdir. Çok adımlı bir ödeme akışında aradaki adımı atlayıp sonuca gitmeyi tarayıcı anlayamaz. Kod ekibiniz taramayı çalıştırsın, SQL enjeksiyonu ve siteler arası betik çalıştırma gibi temel açıklar temizlensin ama yetki kontrolleri için mutlaka insan müdahalesi gerekir.

Geçen sene 3 kişilik ekibimizle aynısını denedik. Popüler bir açık kaynak tarayıcı çalıştırdık, önümüze tam 184 adet güvenlik uyarısı koydu. Geliştiricimiz iki haftasını harcadı ve sonuçta 168 tanesinin sahte alarm olduğu ortaya çıktı. Boşa giden iki haftalık geliştirici maaşı zaten dışarıya vereceğimiz test parasından fazlaya mal oldu.

Dışarıdan hizmet alırken de dikkatli olun. işte piyasada 2.000-3.000 dolara test yaptığını söyleyen biçk sözde güvenlik şirketi, sizin kuracağınız aynı açık kaynak tarayıcıyı arkada çalıştırıp çıktısını kendi logolu şablonuna yapıştırıp rapor diye teslim ediyor. Hizmet alacaksanız sözleşmeye manuel iş mantığı testlerinin dahil olduğunu açıkça yazdırmalısınız.

düzeltme: rakamı yanlış hatırlamışım, biraz daha düşüktü.

Adım adım gidin: önce açık kaynak kod analiz araçlarını geliştirme hattınıza entegre edin. Bu sıfır maliyetle temizlik sağlar. Ardından müşteriyle açıkça konuşup kabul edecekleri asgari sertifika veya akreditasyon standardını sorun. neyse bazen kapsamı sadece dış web yüzeyiyle sınırlandırmak teklif fiyatını doğrudan yarıya indirir.

birşey sormak istiyorum web uygulamamızın önüne kaliteli bir bulut güvenlik duvarı koysak ve trafiği filtrelesek bu tür sızma testi ihtiyaçlarını tamamen ortadan kaldırmaz mı? müşteriler bunu yeterli görmüyor mu?

Güvenlik duvarı kapıdaki güvenlik görevlisidir, sızma testi ise binanın mimari kusurlarını denetleyen mühendistir. Güvenlik duvarı bilinen saldırı kalıplarını engeller fakat uygulamanın kendi içindeki tasarım ve yetki hatalarını bilemez. Müşterileriniz duvarın arkasındaki kodun ne kdr güvenli olduğunu görmek istediği için duvar rapor yerine geçmez.

biz de ilk kurumsal satışımızda aynı şoku yaşamıştık 6.000 dolar teklif gelince elimiz ayağımız titremişti sonra müşteriye dürüstçe erken aşama bi girişim olduğumuzu söyleyip kapsamı kritik uç noktalara daralttık ve bağımsız bi serbest çalışan güvenlik uzmanıyla 2.500 dolara anlaşıp onaylı raporu aldık. iletişimi koparmayın derim.

kendi raporunuzu kurumsal satin almaccilar kesinlikle kabul etmez maalesef... o raporun espirisi zaten bagimsiz bi kurumun kase basmasi. araclari sadece temizlik icin kullanin derim yoksa vaktinize yazik olur.

Süreç olarak bakınca tablo değişiyor. Bunun cevabı sektöre göre çok değişiyor genel geçer bi kural yok.

Kendi durumunuz farklıysa tabii değişir.

Buna katılıyorum. Asıl mesele rakam değil, o rakamın neye göre çıktığı.

Benim görüşüm bu kesin doğru diye yazmıyorum.

peki şunu nsl çözdünüz? bizde en çok zaman kaybettiren şey, kimin karar vereceğinin belli olmamasıydı.

sonucu braya yazarsanız başkalarına da faydası olur.

Buraya kadar söylenenleri özetleyeyim. Herkesin yaptığı şey, doğru olduğu anlamına gelmiyor.

Bir uyarı bırakayım. Bir sorunu fark etme süreniz, o sorunun maliyetini doğrudan belirliyor.

Yanlışım varsa düzeltin.

Aynısını yaşadım.

bizde de aynı.

Takipteyim. Otomatik tarama raporu ile sızma testi aynı şey değil.

Ben de merak ediyorum. Bir konuda üç farklı cevap alıyorsanız soru yanlış sorulmuştur.

Kolay gelsin.

Küçük bir işletmeyim, benim tarafımdan anlatayım. Bunu baştan yazılı hâle getirmezseniz sonra tartışma çıkıyor.