Biri zafiyet taraması teklifi verdi diğeri sızma testi, aralarındaki fark ne ve hangisi lazım?

Şöyle düşünün: Zafiyet taraması binanın dışından geçip pencerelerin açık olup olmadığına uzaktan dürbünle bakan bir robottur. Bazen yansımayı açık cam sanabilir. Sızma testi ise uzman bir çilingirin binaya gerçekten girmeye çalışmasıdır. Kurumsal müşteriler her zaman çilingirin raporunu görmek ister.

Aynı hatayı iki yıl önce yaptık. 50.000 dolarlık bir satış için 1.200 dolarlık otomatik tarama raporu gönderdik. Müşterinin güvenlik direktörü raporu 10 dakika içinde reddetti ve 'Bu bir pentest değil, standart scanner çıktısı' diyerek süreci iki ay dondurdu. Sonunda mecburen tam test yaptırıp 6.000 dolar ödedik.

Müşterinizin güvenlik anketinde (security questionnaire) tam olarak ne yazdığına bakın. Eğer 'penetration test report performed by an independent third party' yazıyorsa 1.500 dolarlık teklifi doğrudan eleyin. bu arada müşteriye zafiyet taraması sunmak vakit kaybı olur.

O 1.500 dolarlık taramayı yapan firma muhtemelen açık kaynaklı bi aracı sunucunuza doğru çalıştırıp PDF çıktısına kendi logosunu basacak. O işlemi kendiniz de iki saatte yapabilirsiniz, kesinlikle o parayı vermeyin.

Kurumsal risk yönetiminde tedarikçi değerlendirmeleri katı kurallara bağlıdır. İK yazılımınız müşteri çalışanlarının kişisel verilerini barındıracağı için hukuki uyum ekipleri sadece manuel sızma testinin sağlayabileceği yönetici özeti ve temizleme raporunu geçerli denetim kanıtı sayacaktır.

6.500 dolarlik firmayla pazarlik ypain 5.500 civarina cekerler. ama kesinlikle sizma testini alin digerri musteri karsisinda cok amaator durur.

ek: aşağıda sorulmuş, cevabı ikinci mesajda yazdım.

İkinci firmayla görüşürken sözleşmeye mutlaka re-test maddesini ekletin. Test bittikten sonra size açıkların listesini verecekler, siz onları kapatacaksınız ve temiz bir nihai rapor alacaksınız. Müşteriye sunmanız gereken asıl belge o temiz rapordur.

Şu noktada ayrılıyorum sizden... ya kararı geri almak ne kadar zorsa o kdr yavaş verin.

Not olarak bırakayım, lazım olur.

katılıyorum

Kısmen katılıyorum, kısmen katılmıyorum. Kararı geri almak ne kadar zorsa, o kadar yavaş verin.

Kendi durumunuz farklıysa tabii değişir.

zafiyet taraması sızma testi konusunda hiç tecrübem yok, o yüzden soruyorum. zafiyet taraması sızma testi konusunda acele eden herkes aynı yerde takılıyor.

Ben olsam bu yoldan giderdim.

Bu yaklaşımın bir bedeli var o da konuşulmuyor. işte ikinci doğrulama açıksa çalınan parola tek başına işe yaramıyor.

İki hafta boyunca not tutmak altı aylık tahminden iyi sonuç veriyor.

Bunu biraz açabilir misiniz? bu arada asıl mesele rakam değil o rakamın neye göre çıktığı.

Envanter çıkarmadan alınan önlem görmediğiniz kapıyı açık bırakıyor. Yanlışım varsa düzeltin.

zafiyet taraması sızma testi tarafında bu kadar net konuşmak zor bence ama ölçmeden karar verince hep aynı yere geliyoruz.

küçük ölçekte işe yarayan çözüm büyüyünce çöküyor, bunu geç öğrendim bir de ben olsam bu yoldan giderdim.

Sağ olun, aradığım cevap buydu. Bir sorunu fark etme süreniz, o sorunun maliyetini doğrudan belirliyor.

Bu kadar, uzattıysam kusura bakmayın.

Yazdığınız için teşekkürler.

Küçük bi işletmeyim, benim tarafımdan anlatayım. Yedeğin aynı ağda ve aynı kimlikle erişilebilir olması onu hedefin parçası yapıyor.

Kolay gelsin.

Katılıyorum.