Zafiyet taraması teklifte geçiyor ama anlamıyorum: nedir ve yeterli mi yoksa pentest şart mı?

Taramayı şöyle düşünün: Bir güvenlik görevlisinin binanın etrafında dolaşıp tüm kapı ve pencerelerin kilitli olup olmadığını dışarıdan kontrol etmesi zafiyet taramasıdır. Pentest ise kilitli olmayan pencereden içeri girip masadaki kasayı açmaya çalışmasıdır. Teklifteki tarama muhtemelen hazır bir veritabanına karşı port ve servis kontrolü yapacaktır.

Biz Roma'daki toptan dağıtım sitemiz için geçen sene 1.100 EUR verip zafiyet taraması başlattık. İlk raporda tam 34 adet açık çıktı, bunların 6 tanesi kritikti ve eskiyen bir sunucu eklentisinden kaynaklanıyordu. Güncellemeleri yaptık, bir sonraki çeyrekte kritik açık sayısı sıfıra indi. Bizim için fazlasıyla faydalı oldu.

Teklifi kabul etmeden önce firmaya şunu sorun: 'Tarama sonucunda çıkan raporu bana ham PDF olarak mı ileteceksiniz, yoksa IT sorumlumuzla oturup kapatılması gereken açıkları önceliklendireceğimiz bi saatlik danışmanlık dahil mi?' Eğer sadece otomatik rapor fırlatıp gideceklerse o parayı vermeyin.

Otomatik zafiyet taramaları çok fazla 'false positive' yani sahte alarm üretir. Hiçbi tehlike yaratmayan minör bi başlık yapılandırmasını bile yüksek risk gibi gösterebilirler. Ekibinizde o raporu okuyup neyin gerçek neyin önemsiz olduğunu ayıklayacak biri yoksa rapor elinizde kalır.

bence portalda kart bilgisi tutmuyorsaniz pentest su an icin gereksiz masraf. bu arada duzenli tarama yaptirip sunucu guncellemelerni aksatmamak kucuuk sirketlerin yude doksanini zaten kurtariyor.

İtalya ve Avrupa Birliği veri koruma mevzuatı gereğince, müşteri ticari verilerinin güvenliği için teknik tedbir alma zorunluluğunuz bulunmaktadır. Düzenli zafiyet taraması yaptırmak ve raporları arşivlemek, olası bir veri denetiminde proaktif güvenlik çabanızı kanıtlayan geçerli bir resmi dayanak oluşturur.

Portalınızda barınan teknik çizimler size mi ait yoksa müşterilerin özel tasarımları mı? Eğer müşterilerinizin ticari sır niteliğinde tescilli tasarımlarını barındırıyorsanız, o müşterilerden biri sözleşme gereği yılda bi defa sızma testi talep edebilir, sözleşmelerinizi kontrol ettiniz mi?

hiç kafa karıştırmaya gerek yok, bütçenizi sarsmadan 1.200 EURluk paketi seçin ama rapordaki açıkları kapatma işini de aynı ekiple netleştirin sonra valla ilk sene sistemi bi derleyip toparlasınlar, seneye işer büyürse pentest düşünürsünüz.

Bu başlık arşivlik.

bied de aynı.

Geçen yıl neredeyse aynısını yaşadık. İzin ve kapsam yazılı değilse o test başlamasın.

Sonucu buraya yazarsanız başkalarına da faydası olur.

Sizce bu her ölçekte işler mi? zafiyet taraması nedir konusunda acele eden herkes aynı yerde takılıyor.

Sorunuz olursa yazın, elimden geldiğince cevaplarım.

Doğru.

üç ayrı görüş çıktı, hepsi birbirini tamammlıyor sonra tek bi önleme güvenmeyin; katman katman gidin.

bi konuda üç farklı cevap alıyorsanız soru yanlış sorulmuştur.

Benim başımdan geçeni yazayım, belki işinize yarar. Bizde en çok zaman kaybettiren şey, kimin karar vereceğinin belli olmamasıydı.

Sonucu buraya yazarsanız başkalarına da faydası olur.

Şu noktada ayrılıyorum sizden. Kararı geri almak ne kadar zorsa, o kadar yavaş verin.

Kolay gelsin.

Bu kadar açık anlatan yazı az bulunuyor.

kusura bakmayın da bu her durrumda geçerli deil ama zafiyet taraması nedir tarafında yapılan hata genelde geri dönülebilir ama pahalı

benim gorusum bu kesin dgru diye yazmiyorum.