Nasıl yardımcı olabiliriz?
Bir soru seçin veya özel mesaj gönderin
Hızlı Sorular
En kaybetmek istemeyeceğiniz şeyden başlarız: müşteri kayıtları, ödeme akışı, yönetici erişimi, siteyi ayakta tutmak. Her birine gerçekçi olarak nasıl ulaşılabileceğini çıkarır, sistemleri adıyla yazılmış ve nelerin kapsam dışı olduğunu açıkça söyleyen bir kapsam belgesi hazırlarız; böylece mağaza incelemesinin ofis ağını da kapsadığı sanılmaz.
Saldırganın baktığı yerlere bakarız: kimlik doğrulama ve oturum yönetimi, yetki kontrolünün sadece arayüzde değil her uç noktada yapılıp yapılmadığı, dosya yükleme yolları, veritabanı erişim desenleri, ortam değişkenlerinde ve depoda unutulmuş gizli anahtarlar, depolama izinleri ve yönetim panelinin internete ne kadar açık olduğu. KOBİ sistemlerinde gerçek riski en çok yanlış yapılandırma üretir.
Çalışan uygulamayı hem kimliksiz hem de her kullanıcı rolüyle test ederiz: enjeksiyon, XSS, hesaplar arası yetki aşımı, doğrudan nesne referansı açıkları, giriş ve ödeme akışında hız sınırlama ile kimlik bilgisi doldurma saldırılarına dayanıklılık. Testler mümkün olduğunda üretime benzer veriyle test ortamında koşar, zarar verebilecek denemeler ise önceden yazılı olarak mutabık kalınır.
Her bulgu kanıtı, dürüst bir kritiklik seviyesi, sömürülmesi için gereken koşullar ve somut bir çözümle gelir; tarayıcı numarası ve bağlantı değil. Sıralamayı ham puana göre değil gerçek maruziyete göre yaparız; rapor bu ay yapılması gereken birkaç maddeyle açılır ve nelerin bir çeyrek bekleyebileceğini açıkça yazar.
Düzeltmeleri ya ekibinizle birlikte uygular ya da onların çözümünü inceleriz; ardından ilgili bulguları yeniden test ederek kapanışı iddia değil kanıt haline getiririz. Aynı anda bağımlılık, gizli anahtar ve yapılandırma taramasını CI hattına bağlarız; böylece aynı tür sorun bir sonraki denetimde değil bir sonraki pull request'te yakalanır.
Güvenlik sessizce eskir, bu yüzden ayakta kalan rutinleri bırakırız: işe giriş ve çıkışlarda erişim gözden geçirme, kritik hesaplarda zorunlu MFA, planlı bağımlılık güncellemeleri, bir incelemeyi destekleyecek kadar log saklama ve varsayılan değil denenmiş bir geri yükleme. Personel için kısa ve süslemesiz oltalama farkındalığı da buraya girer.
Radikal şeffaflığa inanıyoruz. Projenizin durumunu ve sırada ne olduğunu her zaman bileceksiniz.
Her hafta ilerleme raporları
Ekibinizle iletişim kurun
Net teslim edilebilir kontrol noktaları
Eksiksiz teknik devir
Proje hedefleriniz hakkında bir sohbetle başlayalım.