Sızma testi kapsam formu nasıl doldurulur

Sızma testi kapsam formu, bakılacak her varlığı tek tek kilitler. Ad, adres, ortam, barındırma, kritiklik ve kişisel veri kutusu doldurulur. Yanına hesap, saat aralığı, kaynak adres ve yasaklar yazılır. Penetrasyon testi, bu form imzalanmadan başlamaz. Sözlü liste, formun yerine geçmez.

Kısa sonuç

Her varlık ayrı satırdır. “Tüm sistemler” bir satır değildir.
Üretim, test ve geliştirme aynı adreste değilse aynı satır da değildir.
Üçüncü tarafın barındırdığı adres, o tarafın izni yoksa forma girmez.
Değişiklik, ek olarak yazılı onaylanmadan yürümez.

Önce varlık satırını yazın

Satırda ad ve adres birlikte durur. Adres bir alan adı, bir IP, bir API kökü veya bir mağaza kimliği olabilir. Ortam üretim, test veya geliştirme diye seçilir. İkisi aynı davranışta değilse sonuç da aynı değildir. Bu ayrım ortam yazısında açıktır.

Kapsam dışı duracak sistem de yazılır. Gerekçesi boş kalırsa, test sırasında o adrese gidilip gidilmeyeceği tartışması çıkar. Tartışma, istek gittikten sonra işe yaramaz.

Hesap, saat ve yasak aynı sayfada durur

Test hesabının yetkisi ve geçerlilik süresi yazılır. Süre bitince o hesapla devam edilmez. Saat aralığı ve testin çıkacağı kaynak adresler, kurumun izleme ekibinin yanlış alarmı ayırması içindir.

Aksi formda ayrıca açılmadıkça hizmet engelleme, üretim verisini silme veya dışarı çıkarma, sosyal mühendislik, fiziksel giriş ve kalıcılık kapalıdır. “Genel sızma testi” cümlesi bu kapıları açmaz.

Üçüncü taraf ayrı izindir

Bulut, barındırma veya hazır hizmet başkasının sistemindeyse, o tarafın yazılı izni de gerekir. İzin yoksa o adrese istek gitmez. İzin “sonra gelir” diye duruyorsa, o satır işe dahil değildir.

PTES, kapsamı işin en çok atlanan parçası sayar. Atlanan satır, sonra ya kapsam kayması ya da hukuki tartışma olur. NIST’in angajman kuralı tanımı da aynı kapıya çıkar: neye izin var, ne zaman, hangi yöntemle.

İmzadan sonra ek nasıl işler

Form imzalandıktan sonra adres eklemek, yeni bir iştir. Ek yazılır, yetkili onaylar, onay yürürlüğe girer. Onaysız ek, test eden kişiye yeni adres açmaz.

Örnek formu buradan indirin. İzin satırının neden kâğıtta durduğu izin yazısında anlatılır. Doldurulmuş formla iletişime geçebilirsiniz.