Sızma testi hangi ortamda yapılır

Sızma testi, imzalı kapsam formunda yazan ortamda yapılır. Üretim, test ve geliştirme ayrı satırlardır. Penetrasyon testi, formda olmayan adrese istek göndermez. Bir adreste bulunan açık, diğer adresin kaydı değildir.

İki ekran birbirine benzeyebilir. Sürüm, ayar ve veri yine ayrıdır. Rapor, bakılan satırı anlatır. “Uygulamamız” diye tek kelimeyle gelen teklif, hangi satırın kapanacağını söylemez.

Kısa sonuç

Ortam, her varlıkta üretim, test veya geliştirme diye yazılır.
Testteki bulgu, üretim adresine kendiliğinden geçmez.
Formda olmayan adrese istek gitmez.
Barındıran firmanın izni yoksa o adres kapsama girmez.
Yeniden test aynı maddeye, aynı ortamda bakar.
“Sisteme zarar gelmez” cümlesi kapsam değildir. Yasaklar formda ayrıca durur.

Sızma testi ortam satırıyla başlar

“Siteyi test edin” bir adres seçmez. Kapsamdaki her varlıkta ad, adres, ortam, barındırma ve kritiklik durur. Ortam kutusu boşsa o satırda iş başlamaz.

Sözlü “canlıya bakmayın” da yetmez. Değişiklik, form eki olarak yazılı onaylanmadan yürümez. Kâğıdın diğer kutuları izin yazısında durur. Sıra ise sızma testi sürecinde yazılıdır.

NIST, testten önce yazılan çalışma kuralının, ekibin hangi işi ek izin istemeden yapabileceğini belirlediğini söyler. Adres listesi bu kuralın parçasıdır. PTES de kapsamı işin başına koyar. İkisi de sizin yerinize üretim ya da test seçmez. Seçim formdadır.

Teklif istemeden önce kapsam formunun örneğini indirin. Her satıra adresin yanına ortamını yazın. Kutusu boş listeyle gelen fiyat, hangi sistemin anlatıldığını bilmez. Fiyatın geri kalan satırları fiyat yazısında durur.

Üretim, test ve geliştirme aynı sonuç değildir

Üretim, işin yürüdüğü adrestir. Test, sürüm denemek için duran kopyadır. Geliştirme, o kopyaya henüz geçmemiş iştir. Üçü formda ayrı değerdir. Aynı satıra yazılmaz.

Aynı karşılama ekranı üçünü bir yapmaz. Birinde oturum çerezi kısa, diğerinde uzun olabilir. Birinde yönetici yolu kapalı, diğerinde açık durabilir. Rapordaki “temiz” sözü, bakılan adrese aittir. Bakılmayan adres açık kalan satırdır. Kanıtı bitmeyen satır temiz yazılmaz.

OWASP test rehberi, yayına gidecek sürüme yakın bir derlemede bakılmasını ve kabul testi ortamının, veri dışında yayına en yakın yer olduğunu yazar. Yani kopya, ayarı yakınsa işe yarar. Yakınlık iddia edilip fark listesi boş bırakılırsa, cümle süslemedir.

Kopya ortam ne zaman işe yarar

Kopya, formda kendi adresiyle duruyorsa bakılır. Hesaplar o adreste açılıyorsa girişin arkası da bakılır. Hesap üretimde var, testte yoksa, test turu kapıda kalır. O kısım açık kalan diye yazılır.

“Canlının birebir kopyası” demek için farkın yazılması gerekir. Sürüm, eklenti, başlık, oturum süresi ve üçüncü taraf bağlantısı ayrıysa, bunları tek cümlede aynı saymayın. Yüzde vermiyoruz. Liste ya boştur ya da satır satırdır.

Kopya hiç yoksa seçenek uydurulmaz. Ya üretim adresi forma yazılır ya da o iş bu turda başlamaz. “Bir yerde bakarız” satırı, rapor adresi değildir.

Canlı adres formdaysa istek oraya gider

Canlıyı kapatan genel bir yasağımız yok. Formda üretim adresi varsa test o adrestedir. Formda yalnız test adresi varsa üretim bekler. Penetrasyon testi de aynı kapıdan girer. Ad değişir, sınır değişmez.

Canlıda hız düşük tutulur. Hedef hız sınırı, hizmet hatası veya doğrulama duvarı verirse iş durur, beklenir, kaldığı yerden devam eder. Beklenmeyen etki veya kapsam dışına taşma olursa faaliyet durur ve kurum aranır. Kurum da testi durdurma yetkisini formda tutar.

Aksi ayrıca yazılmadıkça hizmet engelleme, üretim verisini silme veya dışarı çıkarma, sosyal mühendislik ve fiziksel giriş kapalıdır. “Hiçbir kayıt oluşmaz” bu yasağın yerine geçmez. Oturum denenebilir. Hata satırı düşebilir. Sınır, formdaki yasak listesidir. Saat de orada yazılır. Geceyi veya gündüzü genel kural diye koymuyoruz.

Üçüncü tarafın adresi sizin formunuzla açılmaz

Bulut, barındırma veya ödeme sayfası size ait değilse o tarafın yazılı izni gerekir. İzin yoksa o adrese istek gitmez. Mağaza adresinin satırı, kart verisinin durduğu sağlayıcı adresini kapsamaz.

İzin teklifte “sonra bakarız” diye duruyorsa, o ortam bu turun dışındadır. Bulut hesabında aranan izin bulut sızma testi sayfasında yazılıdır.

Yeniden test aynı ortama bakar

Düzeltme üretimde yapıldıysa kapanış da üretim adresine bakar. Test kopyasında kapanan madde, üretimde hâlâ açık olabilir. Aynı numara, aynı ortam. Yeni keşif bu tura eklenmez.

Bunu teklifte sorun. “Rapor dahil” deyip ortam adını ve yeniden testi saymayan iş, kapanışı söylememiştir. Nasıl bakıldığı yeniden test yazısında, dosyada ortamın nerede durduğu rapor yazısında durur.

Tekliften önce bu satırlar dolu olmalı

Her sağlayıcıdan aynı listeyi isteyin.

Her varlıkta adres ve ortam: üretim, test veya geliştirme.
Bakılmayan adreslerin kapsam dışı diye yazılması.
Üretim ile test aynı değilse farkın satır satır durması.
Üçüncü taraf izni yoksa o adresin tur dışında kalması.
Hizmet engelleme ve üretim verisini silmenin, ayrıca yazılmadıkça kapalı olması.
Yeniden testin aynı maddeye ve aynı ortama bakması.

Liste dolmadan “uygulama testi” bir yer adı değildir. İşin kendisi iletişim formunda toplanır. Kapsamı birlikte netleştirmek isterseniz ücretsiz penetrasyon testi başvurusu da açıktır.