Zafiyet tarama araçları satın almak mı yoksa hizmet olarak dışarıdan almak mı mantıklı?

Biz iki yıl önce 4.800 dolara lisans aldık, 60 uç noktamız vardı. İlk taramada 340 kritik ve yüksek bulgu verdi. İki kıdemli geliştiricim üç hafta boyunca sırf bu çıktıları anlamakla uğraştı ve yarısından fazlası konfigürasyondan kaynaklı asılsız uyarı çıktı. Lisans maliyeti 4.800 dolardı ama geliştirici eforu bize en az 10.000 dolara mal oldu.

Dışarıdan hizmet alırken dikkatli olun. Bircok danışmanlık firması da aslında sizin almayı düşündüğünüz o kurumsal aracı çalıştırıp çıkan PDF çıktısının üzerine kendi logolarını basıp size satıyor. Hizmet alacaksanız sözleşmeye mutlaka manuel doğrulama ve yanlış pozitif ayıklaması maddesini koydurun, yoksa boşa para ödersiniz.

Aracı alırsanız kimlik doğrulamalı (credentialed) tarama ile dışarıdan ağ taraması arasındaki farkı yönetmeniz gerekecek. Ajan tabanlı kurulum yapacak mısınız, yoksa sadece dış IP adreslerini mi taratacaksınız? Kurum içi uzman yoksa ajanların konfigürasyonu ve yetkilendirmesi bile ayrı bir güvenlik açığı doğurabilir.

Karar verirken şu üç noktaya bakın: 1) Ekibinizin CVSS skorlarını ve zafiyet istismar edilebilirlik durumunu yorumlayacak vakti var mı? 2) Müşterileriniz bağımsız bir üçüncü taraf denetçi imzası şart koşuyor mu? 3) Yılda sadece 4 defa mı tarama yapacaksınız yoksa sürekli dağıtım süreçlerine mi bağlayacaksınız? Yılda 4 defa için şirket içi lisans taşınmaz.

biz de benzer ikilemde kalmistik bir de araci aldik ilk ay hevesle taradik sonra kimse yuzune bakmmadi dashboard kirmizi alarmlarla doldu. ic kaynak yoksa hizmet almak kesinlikle kafayi daha rahat ettiriyor.

açık kaynaklı ve ücretsiz olan zafiyet tarama araçlarını kendi sunucumuza kursak müşterilerin talep ettiği kurumsal rpaor standardını karşılamaz mı? aradaki temel fark tam olarak nedir?

Acemi arkadaşın sorusuna da yanıt olsun: Açık kaynaklı araçlar teknik tespit için iyidir fakat kurumsal müşteriler genellikle raporun altında bilinen standartlara uygunluk ve kurumsal imza arar. B2B satış süreçlerinde denetçiler raporun hangi metodolojiyle üretildiğine bakar. Kendi başınıza ürettiğiniz teyitsiz bir rapor satış masasında tıkanmaya yol açabilir.

Teklif aldığınız firmaya çeyreklik hizmet kapsamında bir saatlik düzeltme toplantısı (remediation call) dahil mi diye sorun... Tarama sonucunu yazılımcılarınızın önüne atmak yerine öncelikli üç zafiyeti nasıl kapatacaklarını danışmandan dinlemeleri işinizi inanılmaz hızlandırır.

Deneyeceğim.

Tartışma dağıldı, toparlayayım. Zaman kaybının çoğu onay bekleyen işlerde birikiyor.

Bu kadar, uzattıysam kusura bakmayın.

Ben de aynı kanıdayım. İzin ve kapsam yazılı değilse o test başlamasın.

Sorunuz olursa yazın, elimden geldiğince cevaplarım.

birşey sormak istiyorum ve neyse tek bi önleme güvenmeyin; katman katman gidin.

bu kdr uzattiysam kusua bakmayin

Bizde de aynı.

Bir dönem biz de aynı yerde takıldık. Bunu tek başına yapmaya çalışmak en pahalı yol.

Not olarak bırakayım, lazım olur.

geçen yıl neredeyse aynısını yaşadık. zafiyet tarama araçları konusunda acele eden herrkez aynı yerde takılıyor.

kayıt tutmayan hiçbi süeç düzelmiyor çünkü neyi düzelteceğinizi bilmiyorsunuz... not olarak bırakayım lazım olur.

zafiyet tarama araçları konusunda hiç tecrübem yok o yüzden soruyorum. İki hafta boyunca not tutmak, altı aylık tahminden iyi sonuç veriyor.

Not olarak bırakayım lazım olur.

Kafamdaki soru işareti kalktı tşk.

Ben de merak ediyorum. Bildirim yolu uzunsa bildirim gelmiyor; gelmeyen bildirim geç fark edilen olay demek.