Ana sayfa Yazılar Duyurulu ve duyurusuz sızma testi ne değiştirir
Duyurulu ve duyurusuz sızma testi ne değiştirir
Duyurulu sızma testinde izleme ekibi, tarih ve kaynak adresi bilir. Duyurusuz testte bu ekip önceden haberdar edilmez. İkisi de imzalı form ister. Penetrasyon testini “duyurusuz” diye adlandırıp formu atlamak, izni ortadan kaldırmaz.
Kısa sonuç
- Duyurusuz, kapsamsız demek değildir.
- Acil durdurma zinciri iki tarafta da yazılıdır.
- Kaynak adres, yanlış alarmı ayırmak için formda durur.
- Duyurusuz seçimi, sosyal mühendislik veya hizmet engellemeyi açmaz.
Duyurulu iş neden varsayılan olabilir
İzleme ekibi saati biliyorsa, testi saldırı sanıp sistemi kesmez. Keserse gün boşa gider. NIST SP 800-115, testin lojistiğini ve olay olursa ne yapılacağını planın içine koyar. Plan, kimin haberdar olduğunu da söyler.
Duyurulu olmak, kontrolün kapatılması demek değildir. WAF, günlük ve uyarı, formda “kapatın” denmedikçe açık kalabilir. O ayrı bir karardır.
Duyurusuz neyi ölçer
Duyurusuz test, ekibin habersiz bir hareketi görüp görmediğini de soruya katar. Bu, red team ile aynı iş değildir. Adres listesi yine formdadır. Form dışı adrese istek gitmez. Yetkili kişi, testi durdurma hakkını elinde tutar. O kişi habersiz bırakılmaz. Habersiz bırakılan, izleme ekibinin tamamıdır.
PTES, zaman ve yeri angajman kuralında ister. Duyurusuz seçilecekse bu kural daha da dar yazılır. Dar yazılmazsa “haber vermedik” bahanesi, her adrese izin sanılır.
Raporda ne değişir
Bulgu kartı aynıdır. Önem, CVSS, CWE, sorumlu, etki ve maskeli kanıt durur. Duyurusuz turun ek notu, izleme ekibinin görüp görmediğidir. Görmemesi, bulguyu yükseltmez. Görmesi, bulguyu silmez. İkisi ayrı satırdır.
Seçimi kapsam formuna yazın. İzin neden kâğıtta ayrıca anlatılır. İş için iletişim açıktır.