İşletmenizin bir penetrasyon test cihazı kiralamak istemesinin birkaç nedeni vardır. Birçok işletme için, ilk penetrasyon testi potansiyel bir iş ortağının isteği üzerine gelir. Büyük bir anlaşmayı kapatmak için ortağınız, güvenliğinizi doğrulamak için bir penetrasyon test cihazı kiralamanızı ister. yazılım ekibinizin. Sözleşmenin bir parçası olarak, açığa çıkardıkları güvenlik açıklarını sınıflandırır ve önemli sorunları düzeltirsiniz. Diğer şirketler güvenliklerini artırma sürecinin bir parçası olarak sızma testi yapmak istiyorlar. Belki şirketiniz büyük bir şirketi güvence altına almaya çalışıyor yatırım, daha büyük müşteriler edinme veya satın alma eşiğinde olma.
Sebep ne olursa olsun, sızma testini kimin yapacağını seçmek daha önce hiç yapmadığınız bir süreçtir. Genellikle birini kısa sürede bulmanız gerekir. Ancak, doğru adımı elde ederseniz hayal kırıklığına uğramak istemezsiniz, bu yüzden iyi bir capo'ya yatırım yapın. Sızma testi, işletmeniz için güvenlik tutumunuzu iyileştirme fırsatıdır. Birçok şirket gerçek bir sızma testi için ödeme yapma hatasını yapar ve ardından tüm sonuçları hemen görmezden gelir.
Peki doğru pentesteri nasıl ve bütçenize uygun bir miktarda seçersiniz? Bu yazıda, doğru kişiyi nasıl bulacağınıza dair bazı ipuçlarına bakacağız.
İş ağınızı kullanın
Bu tavsiye açık görünüyor, bu yüzden listede ilk. Ayrıca liderlerinin unutduğu bir tavsiye parçasıdır iş. Birçok iş lideri bir penetrasyon test cihazı araştırmasını yürütecek. Böyle bir iş atamak size çekici gelmeyebilir, ancak potansiyel test edicileri kendiniz değerlendiriyorsanız, özellikle de işinizde teste giren belirli kişiler veya şirketler için öneriler alırsanız, kesinlikle en iyi seçimi yapacaksınız.
Bir pentester tespit etmek için ağınızı kullanmak, kimin iyi olduğunu sormaktan daha fazlasıdır. Bunun yerine, ağınızı, işe almanız muhtemel kişinin becerilerinin tadına bakmak için kullanabilirsiniz. Örneğin: bir penetrasyon test cihazı için en kritik yetenek iletişimdir. Bir sözleşmenin sonunda, pentester bir rapor oluşturacaktır. Bu rapor, tanımlanan güvenlik açıklarını, nasıl bulunduklarını ve göreceli önem derecelerini açıklayacaktır. Bu raporun önemli bir yönü, hem teknik personel hem de iş liderliği tarafından anlaşılmak üzere tasarlanmasıdır. Bu, son derece iletişim kurabilen birini bulmanız gerektiği anlamına gelir.
Temelleri anlamanın ötesinde becerileri ve diğer iletişim biçimleri, iş ağınızın size rehberlik edebileceği başka bir şey de test yöntemidir. Tüm çalışma alanlarındaki profesyoneller gibi, penetrasyon test cihazlarının da kendi çalışma tarzları vardır. Bazıları bunu kendi başlarına tutma eğilimindeyken, diğerleri takımlarının çalışma şeklini rapor eder. Bazıları her bir güvenlik açığını kaydeder, diğerleri ise bir güvenlik açığının nereden geldiğini ve gelecekte nasıl önleneceğini açıklamak için teknik personelinizle birlikte oturur.
İş ağınızdaki kişilerle konuşarak, kiraladığınız test cihazının ekibinizin ihtiyaçlarını karşıladığından emin olabilirsiniz.
Kimlik bilgilerini kontrol edin
Teknolojik dünyanın çoğunda, sertifikalar çok önemli bir rol oynamaz. Sızma testi dünyasında durum böyle değildir. Çok önemli olan bazı sızma testleri vardır. Pentesterinizde bunlardan biri (veya daha fazlası) varsa sertifikalar, temel beceri seviyesini bildiklerinden emin olabilirsiniz. En iyi güvenlik sertifikalarına, denetleyicinin daha sonra istila etmek için sisteminiz hakkında edindiği bilgileri kullanmayacağını onaylayan ahlaki bir unsur da eşlik eder. Sisteminizdeki güvenlik açıklarını belirlemek için bir pentester kiralamak ve ardından müşteri verilerinizi çalmak istemezsiniz.
Sızma testi dünyasında, üç sertifika oldukça iyi kabul edilir:
- Sertifika Sertifikalı Etik Hacker
- Sertifika GIAC Penetrasyon Test Cihazı
- Sertifika Saldırgan Güvenlik Sertifikalı Profesyonel
Bu sertifikalı sertifikalardan birine sahip herhangi bir test kullanıcısı işletmenize iyi hizmet edecektir.
Deneyim sahibi olduklarından emin olun
Sızma testi zor bir alandır. Kural olarak, yeni başlayan birini işe almak istemezsiniz. İşletmeniz, yazılımınızdaki güvenlik açıklarını bulmak için birini işe almak için iyi para öder. Bunu gerçekten yapmaları gerekiyor. Ne yazık ki, pentesterinizin çok özel olup olmadığını bilmek zor olabilir. Eğer korkusu yoksa korku iki katına çıkar belgeleme. Elbette, örneğin on iki penetrasyon testi yaptılar, ancak güvendiğiniz biri tarafından doğrulanmadıysanız, ne kadar iyi yaptığını bilmiyorsunuz. Önceki çalışmalarının NDA kapsamında olması muhtemeldir (gizlilik sözleşmesi).
Birçok büyük şirket (Google gibi), hata bulmak için güvenlik araştırmacılarına ödeme yapacakları hata düzeltmeleri gerçekleştirecek yazılım onların. Bu gerçek bir sızma testi değildir, ancak çok yakındır. Bir veya daha fazla şirket ile güvenlik açığı ödül programından geçmiş bir pentester bulmak muhtemelen iyi bir seçim olacaktır. Hataları nasıl tanımlayacaklarını ve tanımlayacaklarını bilmek, iyi bir sızma testi uzmanı olmak için gerekli becerilerin çoğuna sahip oldukları anlamına gelir. Böcek bağları ayrıca iyi bir ahlaki test görevi görür. Bir test cihazı güvenlik açığı bulan ve sorumlu şirkete sorumlu bir şekilde ifşa eden, muhtemelen güvenebileceğiniz biri olabilir.
Daha da iyi bir etik testi, güvenlik açıklarını kamuya açık hale getirmektir. Bu, güvenlik araştırmacılarının çeşitli yazılımlardaki genel güvenlik açıklarını ödeme almadan ortaya çıkardığı bir süreçtir. Belki yazılım bir veritabanında göründü. Herkese açık olarak açıklanan güvenlik açıklarını bulmak eğlenceli değildir, ancak onlardan öğrenmekten daha iyidir çünkü biri bunlardan yararlanmıştır.