Zafiyet taraması ile sızma testi aynı şey mi, hangisi bizim için yeterli?

Otomatik tarayıcılar çok fazla yanlış pozitif üretir. Yani aslında sisteminizde risk oluşturmayan bir durumu kritik bir açık gibi raporlayabilirler. Ya da tam tersi iki aşamalı doğrulamayı atlatma açığı gibi karmaşık süreçleri hiç görmezden gelebilirler. Aradaki fiyat farkı harcanan uzman iş gücüdür.

12.000 TL dedikleri taramayı kabul ederseniz size piyasada hazır satılan yazılımlardan aldıkları 80 sayfalık ham bi İngilizce çıktı yollayacaklar. O rapordaki bulguları anlamak ve ayıklamak için yine bi yazılımcıya saatlerce para ödemek zorunda kalırsınız.

biz iki sene önce o hataya düştük, ucuz diye tarama raporu aldık... raporda kırmızı alarm veren 15 açık çıktı yazılımcımız inceledi meğer 12 tanesi kapalı portların uyarısıymış. yani boşu boşuna panik yaptık paraya da yazık oldu.

Ayrımı anlamak için iki temel farka bakın: 1) Zafiyet taraması otomatik araçlarla saatler içinde biter ve tespit yapar. 2) Sızma testi günlerce sürer, tespit edilen açığı fiilen sömürerek veritabanına erişmeye çalışır ve kanıt üretir.

Geçen ay sitemize sızma testi yaptırdık. Otomatik taramanın hiçbir şey bulamadığı üyelik profil sayfasında, başka kullanıcının adres ve sipariş detaylarını görmeyi sağlayan yetki hatası bulundu. O açığı tarayıcılar asla bulamazdı.

12.000 TL verip yeşil bir 'tık' butonu satın alabilirsiniz tabii. İçiniz rahat uyursunuz ama sitenizden kredi kartı bilgisi sızdırıldığında o tarama raporunu gösterip müşterilerinize durumu açıklayamazsınız.

Özetle; bütçeniz çok kısıtlıysa hiç yoktan tarama yaptırmak bir adımdır ama kendi yazdığınız kodların güvenliğini tarama çözmez. E-ticaret yapıyorsanız 55.000 TL olan sızma testi bir masraf değil, doğrudan sigorta maliyetidir.

Aynen öyle, üstelik bu kadar bilinmiyor. Küçük bir deneme ile başlayın, tmmını bir anda bağlamayın.

Yanlışım varsa düzeltin.

Bu yazılanlar bire bir bizim yaşadığımız. Zaman kaybının çoğu, onay bekleyen işlerde birikiyor.

Olayların çoğu zafiyetten değil, sızmış bi paroladan başlıyor. Benim görüşüm bu, kesin doğru diye yazmıyorum.

Katılıyorum.

Detaya inersek şöyle: Kararı verirken elinizde hangi veri var, önce ona bakın.

Ben olsam bu yoldan giderdim.

bir sey sormak istiyorum. bunun cevabi sektore gore cok degisiyor, genl gecer bi kural yok.

ben osam bu yoldan giderdim

kavramları ayıralım karıştırılıyor. valla yazılı olmayan her madde, ileride iki tarafın da farklı hatırladığı bir madde.

başka türlü ypaan varsa onu da merak ederim.

Üç ayrı görüş çıktı, hepsi birbirini tamamlıyor. Tek bi önleme güvenmeyin; katman katman gidin.

Sormaktan çekinmeyin, sormayan hep daha pahalıya ödüyor. Tecrübeyle sabit.

Kafamdaki soru işareti kalktı, tşk. İzin ve kapsam yazılı değilse o test başlamasın.

Sonucu buraya yazarsanız başkalarına da faydası olur.

Genel olarak doğru ama bir yeri eksik kalmış. Bunu tek başına yapmaya çalışmak en pahalı yol.

zafiyet taraması anlamı konusunda hiç tecrübem yok, o yüzden soruyorum. Kayıt tutmayan hiçbir süreç düzelmiyor, çünkü neyi düzelteceğinizi bilmiyorsunuz.

Başka türlü yapan varsa onu da merak ederim.

Bu kdr açık anlatan yazı az bulunuyor.