Zafiyet analizi yöntemleri: İlk sızma testinden önce küçük firma için hangisi yeterli?

Otomatik tarayıcılar SQL Injection veya açık portları yakalar ama 'A kullanıcısı B kullanıcısının faturasını görebiliyor mu' sorusuna cevap veremez. B2B lojistik yazılımında en büyük risk çoklu kiracı (multi-tenancy) yetki aşımıdır. Bu da ancak manuel testle anlaşılır.

Müşterinizin gönderdiği güvenlik anketinde tam olarak ne yazıyor? Bazen sadece 'düzenli açık taraması yapılıyor mu' derler, bazen de açıkça üçüncü taraf onaylı 'Penetrationstest nach BSI' veya benzeri standart bi onay şartı koşarlar. yani şartnameyi netleştirmeden bütçe harcamayın.

Biz 12 kişilik ekibimizle ilk denetimde 3.200 EUR ödeyerek 2 günlük hibrit web uygulama testi aldık. Raporda çıkan 2 yüksek seviyeli açığı 1 haftada kapatıp doğrulama raporu (re-test) aldık ve müşteri süreci onayladı. 9.000 EUR başlangıç için kesinlikle fazla.

Kapsamı (Scope) daraltın. Ajansa tüm bulut altyapınızı değil, sadece müşterinin veri gönderdiği web uygulamasını ve API uçlarını verin. Kapsam daralınca gün maliyeti ve teklif tutarı yarı yarıya düşecektir.

2.500 eur verip sadece otomatik tarama çıktısı alırsanız paranız çöpe gider. açıkçası iki sayfa açık kaynak araç çıktısını süsleyip rpor diye yolluyorlar kurumsal müşterinin denetçisi bunu anında anlar ve geri çevirir.

Ajansların 'mimari inceleme şart' demesine takılmayın. Tabii ki en geniş kapsamlı paketi satmak isterler. Ancak 10 kişilik bir firmanın kod tabanı için tam mimari denetim haftalar sürer ve asıl ürün geliştirme işinizi kilitler.

Alacağınız teklifte 'Re-test' (yeniden test) hizmetinin dahil olup olmadığını mutlaka teyit ediniz. Raporda çıkan kritik açıklar kapatıldıktan sonra denetçi firmanın bu açıkları kapandı olarak işaretlediği nihai bir yönetici özeti raporu sunması zorunludur.

Konuyu toparlayayım, çünkü birkaç farklı cevap verildi. Yazılı olmayan her madde, ileride iki tarafın da farklı hatırladığı bir madde.

Tecrübeyle sabit.

Bir şeyi atlamayın: İzin ve kapsam yazılı değilse o test başlamasın.

Benim görüşüm bu kesin doğru diye yazmıyorum.

Burada bi tuzak var, söylemeden geçmeyeyim. Kararı geri almak ne kadar zorsa o kadar yavaş verin.

İki hafta boyunca not tutmak, altı aylık tahminden iyi sonuç veriyor. Umarım işinize yarar.

Konuyu toparlayayım, çünkü birkaç farklı cevap verildi. Test edilmemiş bir yedek, yedek değildir.

Bizde de aynı. Küçük bir deneme ile başlayın, tmmını bir anda bağlamayın.

Acele karar, altı ay sonra düzeltilen karar oluyor. Kendi durumunuz farklıysa tabii değişir.

Kaydettim... Bunu baştan yazılı hâle getirmezseniz snra tartışma çıkıyor.

Bu kadar, uzattıysam kusura bakmayın.

Kaydettim.

soracagim sey biiraz acemice olcak kusura bakmayin. bir konuda uc farkli cveap aliyorsaniz soru yanlis sorulmustur.

başka türü yapan varsa onu da mrak ederim.

Dikkat edilmesi gereken bir şey var. Test edilmemiş bir yedek yedek değildir.

Sorunuz olursa yazın, elimden geldiğince cevaplarım.

Aynısını yaşadım.

Çok teşekkürler, bugün deneyeceğim.