[]
yazılımcılara soru: güvenlik işini ne yapıyorsunuz
malum yazdığınız uygulamalarda güvenlik açıkları olabiliyor. çalıştığınız firmalar yazılım geliştirme akışında güvenlik işini nasıl çözüyor. netsparker gibi otomatik test toollarını kullanan var mıdır? varsa otomatik araçların kalitesinden memnun musunuz?
Hacklenene kadar bekliyoruz, sonra sorunu görüp, çözüp, veri kaybı varsa (genelde olmuyor) yedekten devam ediyoruz. (şaka değil). Şu ana kadar çalıştığım ama hack'lenmeyen bi web uygulaması olmadı.
Onun haricinde genelde bu pentesting yapan firmalardan da hizmet alıyoruz, ama henüz bizim göremediğimiz bir şeyi görebilen çıkmadı. Onların bu tool'ları kullandığını zannediyorum. Genelde "sertifika" işi için gerekiyor, yoksa gerçekten bir işe yaradığına şahit olmadım.
Onun haricinde genelde bu pentesting yapan firmalardan da hizmet alıyoruz, ama henüz bizim göremediğimiz bir şeyi görebilen çıkmadı. Onların bu tool'ları kullandığını zannediyorum. Genelde "sertifika" işi için gerekiyor, yoksa gerçekten bir işe yaradığına şahit olmadım.
- plutongezegendegilmi
(27.01.22 23:58:01)
@plutongezegendegilmi o kadar hakli ki :D Gercekten pek bir sey yapmiyoruz hacklenene kadar. O kadar korkutucu gelmiyor bizlere bu surec.
- bedbed
(27.01.22 23:59:23)
danışmanlar halediyor bazen
- ShadowOfMoon (28.01.22 00:07:11)
yazılımcı olarak yapılacaklar; güvenli kod geliştirme kurallarını araştırıp uygulamak ve yaşayıp öğrenmekten başka fazla yapılacak yok.
şirket olarak iyi firmaların tecrübeli elemanları ile belli aralıklarla pentest yapmak olabilir. bir de bug bounty olayı var, bu da faydalı olur. eğer pentest yaptırılırsa bu süreçlere olabildiğince yakın olup bir şeyler kapmaya çalışmak da faydalı olur. hangi metedolojileri veya toolları kullanıyorlar, nereleri test ediyorlar ve tabi ki buldukları bulgular.
şirket olarak iyi firmaların tecrübeli elemanları ile belli aralıklarla pentest yapmak olabilir. bir de bug bounty olayı var, bu da faydalı olur. eğer pentest yaptırılırsa bu süreçlere olabildiğince yakın olup bir şeyler kapmaya çalışmak da faydalı olur. hangi metedolojileri veya toolları kullanıyorlar, nereleri test ediyorlar ve tabi ki buldukları bulgular.
- surprise (28.01.22 00:13:31 ~ 00:15:17)
Pair review, static code analysis (gitlab e entegre), owasp top 10 tabi, gerisi zaten framework library community e güven (her lib için benchmarkları koşuyoruz, gitte son release i ne zaman, kaç mr ı var kaç abondened issue var vs). Uygulama önünde sistem ekibinin yaptıkları var tabi benim dediklerim application server için. Firewall u var load balancer ı var kubernetes i var, DB için ssh tunnel i var, var babam var. Artı zaten ürünler AWS de onların kendi güvenlik önlemlerine girmiyorum bile.
- wiekannich (28.01.22 04:04:32)
1
