Zafiyet analizi araçları arıyorum — 8 kişilik ekipte neyi kendim kullanabilirim, hiçbir şeyi bozmadan?

Aktif ve pasif taramayı birbirinden ayırmanız şart. Web formlarına veya oturum açma sayfalarına agresif fuzzer ya da kontrolsüz istek yağdıran modüller bağlarsanız veritabanı kilitlenir. Ağ düzeyindeki port taramalarında saniyedeki istek hızını düşük tutun. Web tarafında ise taramayı kesinlikle canlı veritabanına bağlı bir ortamda değil, üretim kopyası olan bir test ortamında koşturun.

Kendi aldığınız tarama çıktısıyla kurumsal bi Alman müşteriyi denetimden geçiremezsiniz. Bir denetçi içeride tarama yaptık temiz çıktı demenizi kabul etmez bağımsız bi imza ve metodoloji arar. Aracın ürettiği yüz sayfalık raporun büyük kısmı zaten önemsiz uyarı çıkar ve onları ayıklamak icin de uzman bilgisi gerekir.

edit: yukarıda yanlış yazmışım, kusura bakmayın.

Taramayı güvenle yönetmek icin şu adımları izleyin: 1) Canlı veritabanının yedeğini alıp test ortamına yükleyin ve taramayı sadece bu test adresine yönlendirin. 2) Tarama aracında istek sınırını saniyede en fazla 3 ila 5 istek olacak şekilde kısıtlayın. 3) Tarama başlamadan önce sunucu kaynak kullanımını anlık izleyen bir gösterge paneli açık olsun.

biz geçen sene calıda denedik iletişim formu üzerinden iki saatte sekiz yüz tane boş destek talebi açıldı ama bildirim sistemleri kilitlendi o yüzden form alanlarını kesinlikle tarama dışı bırakın ya da test sunucusunda çalışın.

Ücretsiz ve açık kaynaklı motorları kurarken şu üç önlemi mutlaka alın: 1) Yalnızca bilgi toplama ve pasif analiz modunu seçin, sömürü veya servis dışı bırakma testlerini devre dışı bırakın. 2) E-posta tetikleyen veya sms gönderen formların linklerini kara listeye ekleyin. 3) Taramayı iş saatleri dışında, gece yarısı başlatın.

Biz sekiz kişilik ekibimizde haftalık otomatik bağımlılık taraması yapıyoruz. İlk kurduğumuzda kullandığımız harici paketlerde 14 adet kritik açık çıktı. Hepsini sadece sürüm güncelleyerek 3 günde kapattık, sunucuya tek bir test paketi dahi atmadan riski ciddi oranda düşürdük.

bu araçları sunucuya kurup çalıştırdığımızda sistemde herhangi bir kalıcı dosya ya da güvenlik açığı bırakan bir ajan yazılım kalıyor mu yoksa tarama bitince herşey eski hailne dönüyor mu?

Canlı makineye hiç dokunmayın. Kod tabanınız için açık kaynaklı statik kod analiz aracını yerel bilgisayarınızda çalıştırın. Sunucu işletim sistemi için de sadece paket yöneticisinin güvenlik güncellemelerini listeleyen komutunu çalıştırın. Sıfır riskle işin yarısını çözmüş olursunuz.

haklısınız.

Bizde şöyle oldu. Küçük ölçekte işe yarayan çözüm büyüyünce çöküyor, bunu geç öğrendim.

Tartışma dağıldı, toparlayayım. Sormaktan çekinmeyin, sormayan hep daha pahalıya ödüyor.

Olayların çoğu zafiyetten değil, sızmış bir paroladan başlıyor.

bunu not aldım teşekkürler.

Buraya kadar söylenenleri özetleyeyim. Karar verirken en kötü senaryoyu da yazın, sadece iyisini değil.

Acele etmeyin derim. Ödeme bilgisi değişikliği asla geldiği kanaldan doğrulanmaz.

Kusura bakmayın da bu her durumda geçerli değil. Ödeme bilgisi değişikliği asla geldiği kanaldan doğrulanmaz.

Yanlışım varsa düzeltin.

Kusura bakmayın da bu her durumda geçerli değil. Asıl mesele rakam değil, o rakamın neye göre çıktığı.

Katılıyorum.

Anlamadığım bi yer var. Güvenli olmak mutlak değl; saldırıyı uğraşmaya değmez hâle getirmek demek.

Asıl mesele rakam değil, o rakamın neye göre çıktığı. Kolay gelsin.