Ana sayfa Yazılar Sızma testinde WAF açık mı bırakılır
Sızma testinde WAF açık mı bırakılır
Açık bırakılır. Formda “kapatın” yazmıyorsa güvenlik duvarı, WAF ve benzeri kenar kontrol test sırasında yerinde durur. Sızma testi, saldırganın gördüğü kenarı da görsün diye yapılır. Penetrasyon testi, duvarı sessizce indirip arkadaki uygulamayı tek gerçek sanmaz.
Kısa sonuç
- Kenar açıkken bakılan tur, üretimde duran hali anlatır.
- Duvarı kapatmak ayrı bir penceredir ve form ekidir.
- Duvarın engellediği satır, uygulamanın temizi değildir.
- Engelin kendisi de bulgu olabilir. Olmayabilir. İkisi ayrı karttır.
Neden açık başlar
Üretimde duvar duruyorsa, testi duvarsız yapmak başka bir sistemi test etmektir. Sonuç, yayındaki davranışla aynı değildir. Ortam farkı ayrı yazıda anlatılır. Kenar da ortamın parçasıdır.
OWASP WSTG, testin kapsamını angajman kuralına bağlar. Kural “yalnızca şu adres” diyebilir. “Duvarı kapatın” demiyorsa duvar durur.
Kapatmak ne zaman işe yarar
Uygulamanın kendi denetimi, duvarın ardında ayrı sorulacaksa, ikinci bir pencere açılır. Saat, adres ve kimin duvarı indireceği yazılır. Bu pencere bitince duvar eski haline döner. Dönüş de kayıtlıdır. İkinci pencerenin bulgusu, birinci pencerenin bulgusunun üzerine “zaten kapalıydı” diye yazılmaz.
Raporda nasıl ayrılır
Duvar isteği kestiğinde satır, “uygulama temiz” olmaz. Kesilen denetim uygulanamaz veya açık kalan olabilir. Nedeni yazılır. Duvarın kendisi her isteği geçiriyor ve bunu formdaki korumanın yerine koyuyorsa, o da ayrıca değerlendirilir. Kanıt maskelidir. Kural kümesinin tamamı rapora dökülmez.
Kararı kapsam formuna yazın. Web tarafının nasıl ele alındığı hizmet sayfasında durur.