Zafiyet değerlendirme raporu aldık, önem dereceleriyle dolu — bunu aksiyon planına nasıl çeviririz?

CVSS puanları genel şiddeti gösterir ama gerçek dünyadaki tehdit ihtimalini tek başına anlatmaz. Rapordaki bulguları incelerken açık istismar kodunun (exploit) genel erişime açık olup olmadığına bakın. İstismarı internette hazır script olarak dolaşan bi açık, puanı 7.5 bile olsa, istismarı çok zor olan 9.0 puanlık bi açıktan çok daha tehlikelidir.

Tüm geliştirme ekibini aynı anda güvenliğe kilitlemeyin. Ekipteki bi geliştiriciyi bu hafta sadece güvenlik düzeltmelerine atayın, diğerleri normal yol haritasına devam etsin. Kütüphane sürümlerini yükseltmek genelde işin yarısını çözer; önce sunucu paketlerini güncelleyip bulguların ne kdrının otomatik kapandığını görün.

Geçen yıl benzer bir denetimde 52 bulgu almıştık. İncelediğimizde 52 bulgunun 18 tanesinin sadece eskiyen iki açık kaynak JavaScript kütüphanesinden kaynaklandığını gördük. O iki kütüphaneyi güncelleyip bağımlılıkları temizlememiz yarım gün sürdü ve raporun neredeyse üçte biri tek hamlede kapandı.

Süreci yönetirken şu sırayı takip etmenizi öneririm: 1) Dışarıya açık sunuculardaki kritik ve yüksek bulguları ilk sprint içine alın, 2) Konfigürasyonla ilgili olan eksik başlık ve şifreleme açıklarını devops tarafına tek bilette verin, 3) Kalan orta ve düşük seviyeleri teknik borç havuzuna aktarıp her geliştirme dönemine birer ikişer dağıtın.

biz de yakinda benzer bi tarama yaptiracagiz ama rapordaki yanllis pozitif dediginiz sey tam olarak ne oluyor? yani guvenlik firmasinin raporunda var gorunen bi acik aslinda sistemimizde hic var olmamis olabilir mi?

Güvenlik firmaları bazen otomatik tarayıcıyı çalıştırıp çıkan 70 sayfalık ham PDF çıktısını doğrudan müşteriye teslim ediyor. Eğer rapordaki bulguların ekran görüntülü istismar kanıtı yoksa, firmadan raporu manuel olarak yorumlamalarını ve doğrulama yapmalarını isteme hakkınız var; 4.800 USD sadece bi butona basma ücreti olmamalı.

ilk raporu aldığında herkez büyük bi panik yaşar çok normal ama o listeler genelde korkutucu görünür çünkü en küçük bilgi ifşası bile raporu uzatır. kritik 6 maddeye odaklanıp onları kapatın, müşterinize de planınızı gösterin; kurumsal firmalar açık olmasından ziyade bunu nsl yönettiğinize bakar.

Toparlamak gerekirse; panik yapmadan önce yanlış pozitifleri ayıklayın, internete açık olan kritik açıkları güncellemelerle hemen kapatın ve kurumsal müşterinize 30 günlük bir aksiyon takvimi ileterek ikinci taramayı bekleyin.

Bu başlığı açtığınız iyi olmuş. Bildirim yolu uzunsa bildirim gelmiyor; gelmeyen bildirim geç fark edilen olay demek.

Başka türlü yapan varsa onu da merak ederim.

bunu not aldm tşk.

sırayla gitmek lazım.. bir de işte insanllar sürecci değl alışkanlığı savunur. direnç oradan gelir.

not olaarak birakayim laziim olur

Bu cevabı okuyunca rahatladım, demek sadece bende değilmiş. Acele karar, altı ay sonra düzeltilen karar oluyor.

Küçük ölçekte işe yarayan çözüm büyüyünce çöküyor, bunu geç öğrendim.

Tam zamanında bir konu.

Farklı düşünüyorum. Bir sorunu fark etme süreniz, o sorunun maliyetini doğrudan belirliyor.

Bunu baştan yazılı hâle getirmezseniz sonra tartışma çıkıyor. Umarım işinize yarar.

soracağım şey biraz acemice olcak kusura bakmayın. insanlar süreci dgl alışkanlığı savunur. direnç oradn gelir.

yanışım varsa düzeltin.

Aynı hatayı yapmayın diye yazıyorum. Bildirim yolu uzunsa bildirim gelmiyor; gelmeyen bildirim geç fark edilen olay demek.

İlk üç ay herşey iyi gider sorun dördüncü ayda çıkar. Başka türlü yapan varsa onu da merak ederim.

Aynı hatayı yapmayın diye yazıyorum. Bir konuda üç farklı cevap alıyorsanız soru yanlış sorulmuştur.

Not olarak bırakayım, lazım olur.