Ana sayfa Yazılar

Yazılar

• Sızma testi hangi ortamda yapılır? Sızma testi, imzalı formda yazan ortamda yapılır. Üretim ile test aynı adres değilse sonuç da aynı değildir.
• Sızma testi fiyatını ne belirler? Teklif paket adıyla değil, adres, rol, kara kutu veya gri kutu ve yeniden test satırıyla okunur.
• Sızma testi ile zafiyet taraması aynı şey mi? Zafiyet taraması olası açıkları otomatik olarak listeler. Sızma testinde ise uzmanlar her bulguyu elle doğrular ve gerçek bir risk olup olmadığını gösterir.
• Penetrasyon testi için yazılı izin neden gerekir? Test, yalnızca imzalı kapsam formunda yer alan adres ve ortamlarda başlar. İznin neden şart olduğunu ve sürecin nasıl işlediğini anlatıyoruz.
• Sızma testi raporunda neler bulunur? Yönetici özeti karar vericiler, teknik bölüm geliştiriciler içindir. Her bulgunun önem derecesi, etkisi ve düzeltme önerisi raporda nasıl yer alır, bu yazıda görebilirsiniz.
• Penetrasyon testinden sonra yeniden test nasıl yapılır? Düzeltmeler tamamlandığında aynı bulgular aynı ortamda tekrar test edilir. Bir bulgunun gerçekten kapandığı nasıl doğrulanır, adım adım anlatıyoruz.
• Kara kutu, gri kutu ve beyaz kutu sızma testini ne ayırır Kara kutu dışarıdan bakar. Gri kutu hesap ve rol verir. Beyaz kutu kaynak ve mimariyi de açar. Penetrasyon testinde bilgi düzeyi formda kilitlenir.
• Sızma testi kapsam formu nasıl doldurulur Sızma testi kapsam formu adres, ortam, hesap, saat ve yasağı kilitler. Boş kutu, o işin başlamadığı anlamına gelir. Penetrasyon testi sözlü listeyle açılmaz.
• Sızma testi ne kadar sürer Sızma testi süresi adres, rol ve bilgi düzeyine bağlıdır. Sabit gün vaadi yoktur. Penetrasyon testi takvimi, formdaki saat aralığıyla kilitlenir.
• Sızma testi ne sıklıkla yapılır Sızma testi sıklığı risk ve değişiklikle seçilir. Tek bir yıl kuralı herkese uymaz. Kart verisi varsa ölçü PCI DSS metnindedir. Penetrasyon testi takvimi o metnin yerine geçmez.
• Sızma testi ile red team aynı iş midir Sızma testi, formdaki adreste açığı arar ve kapatır. Red team, tespit edilmeden bir hedefe yürümeyi de dener. Penetrasyon testi ikisinin ortak adı değildir.
• Sızma testi ile bug bounty aynı iş midir Sızma testi imzalı kapsamda, belirli sürede, raporla biter. Bug bounty açık uçlu bir çağrıdır ve ödül kuralları ayrıdır. Penetrasyon testi bir ödül programının adı değildir.
• Sosyal mühendislik sızma testine girer mi Sosyal mühendislik, formda ayrıca açılmadıkça sızma testine girmez. Çalışana yazılan ileti, kapsamın parçası değildir. Penetrasyon testi de bu kapıyı sözle açmaz.
• Hizmet engelleme sızma testine girer mi Hizmet engelleme, formda ayrıca açılmadıkça sızma testine girmez. Yoğun istek üretimi, hız sınırını da aşar. Penetrasyon testi bu denemeyi varsayılan saymaz.
• Sızma testinde üretim verisi dışarı çıkar mı Sızma testinde üretim verisi, formda ayrıca açılmadıkça dışarı çıkarılmaz ve silinmez. Kanıt, maskeli örnekle kapanır. Penetrasyon testi de veriyi teslim dosyası yapmaz.
• Kritik bulgu rapor beklenmeden bildirilir mi Kritik bulgu, sızma testinde raporun gününü beklemez. Kurum, formdaki acil zincirle haberdar edilir. Penetrasyon testi bu haberi kamuya veya her alıcıya açmaz.
• Sızma testinde test hesabı nasıl verilir Sızma testinde hesap, rolü ve süresi formda yazılı test hesabıdır. Kişisel hesap varsayılan değildir. Penetrasyon testi, parolayı rapora ve siteye koymaz.
• Duyurulu ve duyurusuz sızma testi ne değiştirir Duyurulu sızma testinde izleme ekibi saati bilir. Duyurusuz testte pencere dardır ve formda ayrıca yazılır. Penetrasyon testi ikisini de sözlü haberle değiştirmez.
• Sızma testinde WAF açık mı bırakılır Sızma testinde WAF, formda kapatın denmedikçe açık kalır. Kapatmak ayrı bir turdur. Penetrasyon testi, duvarın arkasına sözle geçmez.
• Sızma testinde hız sınırı neden konur Sızma testinde hız sınırı, sistemi ayakta tutmak için formda kilitlenir. Sınır veya hizmet hatası gelirse iş durur. Penetrasyon testi bu sınırı sessizce yükseltmez.
• CVSS puanı sızma testi raporunda ne işe yarar CVSS, sızma testi bulgusunun özelliğini 0 ile 10 arasında anlatır. Düzeltme sırasının tek kendisi değildir. Penetrasyon testi raporu puanı etki cümlesiyle birlikte okutur.
• CWE numarası sızma testi raporunda ne anlatır CWE, sızma testi bulgusunun zayıflık sınıfını adlandırır. Puan değildir ve yama linki değildir. Penetrasyon testi raporu CWE’yi sorumlu ve etkiyle birlikte yazılır.
• Sızma testi bulgusunun sorumlusu kimdir Sızma testi bulgusunun sorumlusu, davranışı üreten taraftır. Platform ile kurumun kendi ayarı aynı kartta birleşmez. Penetrasyon testi raporu bu ayrımı yazar.
• Elendi, temiz ve açık kalan aynı sonuç mudur Elendi, sızma testinde denenip kanıtla kapanan yoldur. Temiz, bakılıp sorun çıkmayan yerdir. Açık kalan, kanıtı bitmeyen satırdır ve temiz yazılmaz. Penetrasyon testi bu üç etiketi birleştirmez.
• Sızma testi raporundaki kanıt kodu ne işe yarar Kanıt kodu, sızma testi raporunu okuyan ekibin kendi test hesabıyla aynı sonucu görmesi içindir. Müşteri kaydı ve parola gömülü değildir. Penetrasyon testi kodu sitede yayınlamaz.
• Sızma testi raporunda istek ve yanıt neden maskelenir Sızma testi raporundaki istek ve yanıt, oturum ve kişisel veriyi taşımamak için maskelenir. Kanıt kalır. Penetrasyon testi ham kaydı her alıcıya açmaz.
• Sızma testi düzeltme sırası nasıl okunur Sızma testi düzeltme sırası 30 gün, 1–3 ay ve 3–12 aydır. Sıra, tek başına CVSS sıralaması değildir. Penetrasyon testi raporu bu üç dilimi aksiyon planında tutar.
• Üçüncü tarafın barındırdığı sistemde sızma testi nasıl yapılır Bulut, barındırma veya hazır hizmette sızma testi, o tarafın yazılı iznini de ister. İzin yoksa o adrese istek gitmez. Penetrasyon testi kurumun sözleşmesini bu iznin yerine koymaz.
• API sızma testinde dokümantasyon şart mıdır API sızma testinde dokümantasyon, gri kutuda beklenen girdidir. Yoksa yalnızca görülen istek bakılır ve geri kalan açık kalan kalır. Penetrasyon testi uydurma uç listesiyle kapanmaz.
• Mobil sızma testinde hangi derleme verilir Mobil sızma testinde test edilecek iOS ve Android derlemesi formda kilitlenir. Mağaza sürümü ile test sürümü aynı sonuç değildir. Penetrasyon testi mağazadaki her sürüme kendiliğinden yayılmaz.
• İç ağ sızma testi nasıl başlar İç ağ sızma testi, formdaki iç adres ve erişim yoluyla başlar. VPN veya salon, sözlü “içeriden bakın” demek değildir. Penetrasyon testi form dışı ağa gitmez.
• Dış ağ sızma testinde hangi adres bakılır Dış ağ sızma testinde yalnızca formdaki adres bakılır. Keşifte çıkan komşu adres kapsama kendiliğinden girmez. Penetrasyon testi herkese açık diye her kapıya gitmez.
• Sızma testinde kaynak kodu istenir mi Kaynak kodu, beyaz kutu sızma testinde istenir. Kara kutu ve gri kutu kodsuz yürür. Penetrasyon testi, kodu vermeden beyaz kutu sonucu yazmaz.
• Sızma testi bir denetimin yerine geçer mi Sızma testi, formdaki adreste açığı arar. Denetim, kontrolün tasarlandığı gibi durup durmadığına bakar. Biri diğerinin belgesi değildir. Penetrasyon testi de denetim raporu üretmez.
• PCI DSS sızma testi ne ister PCI DSS v4.0.1 içinde 11.4, iç ve dış penetrasyon testinin düzenli yapılmasını ve bulunan zayıflığın düzeltilmesini anlatır. Ayrıntı güncel standardın kendisindedir. Bu yazı onun yerine geçmez.
• Sızma testi sırasında iş nasıl durdurulur Sızma testini kurum, formdaki yetkiyle durdurur. Hizmet hatası, hız sınırı veya kapsam dışına taşma da işi keser. Penetrasyon testi durduktan sonra sessizce sürmez.
• Kapsam dışı bir bulgu rapora girer mi Kapsam dışı adreste sızma testi isteği kesilir. O adres bulgu kartı olmaz. Gerekirse not düşülür ve ayrı form açılır. Penetrasyon testi komşu sistemi maddeye çevirmez.
• Sızma testinde kişisel veri nasıl ele alınır Sızma testinde kişisel veride asgari örnek yeter. Raporda maskelenir, şifreli saklanır, süre sonunda imha edilir. Penetrasyon testi müşteri listesini kanıt diye taşımaz.
• Sızma testi raporu kimlere verilir Sızma testi raporu, kurumun formda yazdığı alıcılara gider. Yönetici özeti ve teknik rapor aynı kişiye mecbur değildir. Penetrasyon testi raporu kamuya ve bu siteye konmaz.
• Sızma testinden önce kurum ne hazırlar Sızma testinden önce adres, ortam, hesap, saat, yasak ve acil zincir formda hazır olur. Eksik kutu günü kapıda bekletir. Penetrasyon testi hazırlıksız listeyle açılmaz.
• Yetkilendirme sızma testinde nasıl bakılır Yetkilendirme sızma testinde bir rolün başka rolün kaydına ulaşıp ulaşmadığı elle bakılır. Tek hesap bu turu kapatmaz. Penetrasyon testi araç listesini yetki sonucu saymaz.
• İş mantığı açığı sızma testinde nasıl aranır İş mantığı açığı, fiyat, adet, kupon, adım atlama ve yarışta elle aranır. Tarama listesi bu başlığı kapatmaz. Penetrasyon testi akışı bilmeden temiz yazmaz.
• Kimlik ve oturum sızma testinde nereye bakılır Kimlik ve oturum sızma testinde kayıt, giriş, çıkış, çerez ve sıfırlama elle bakılır. Tek “giriş çalışıyor” cümlesi turu kapatmaz. Penetrasyon testi parola listesini rapora koymaz.
• Dosya yükleme sızma testinde nasıl ele alınır Dosya yükleme sızma testinde, yüklenen dosyanın nereye düştüğü ve nasıl çalıştığı elle bakılır. Yükleme yoksa denetim uygulanamazdır. Penetrasyon testi zararlı dosyayı üretimde bırakmaz.
• Değişiklik sonrası sızma testi yeniden test midir Değişiklik sonrası sızma testi, yeni veya değişen adrese bakar. Yeniden test, eski bulgunun aynı numarasına bakar. Penetrasyon testi ikisini tek tura sıkıştırmaz.
• Sızma testinde kapsam değişikliği nasıl işler Sızma testinde adres, saat veya yasak değişikliği form ekidir. Ek, yazılı onaylanmadan yürümez. Penetrasyon testi sözlü ekle yeni adrese gitmez.