Web sitesi güvenlik denetimi ile sızma testi arasındaki fark nedir?
Kısa cevapWeb sitesi güvenlik denetimi ile sızma testi farklı sorulara yanıt verir. Sızma testi, istismar edilebilir yollar bulmak için bir uygulamaya aktif olarak saldırır; geniş bir yetkilendirme ve test aralığı gerektirir. TSmartSecurity Web Sitesi Güvenlik Denetimi ise pasiftir: yalnızca TLS, HTTP güvenlik başlıkları, çerezler, DNS ve e-posta kayıtları okunur; hiçbir şeye saldırılmaz, hiçbir şey istismar edilmez veya değiştirilmez.
Web sitesi güvenlik denetimi ve sızma testi, yan yana
| Soru | Web sitesi güvenlik denetimi (pasif) | Sızma testi |
|---|---|---|
| Ne yapar | Sitenin zaten gösterdiklerini okur: TLS yapılandırması, HTTP güvenlik başlıkları, çerez işaretleri, DNS ve e-posta kimlik doğrulama kayıtları. | İstismar edilebilir yollar bulmak için uygulamaya aktif olarak saldırır. |
| Yetkilendirme | Tam alan adlarını ve zaman aralığını belirten yazılı yetkilendirme. | Geniş bir yetkilendirme ve kararlaştırılmış bir test aralığı. |
| Siteye etkisi | Hiçbir şeye saldırılmaz, hiçbir şey istismar edilmez veya değiştirilmez; oturum açılmaz, yüksek hacimde istek gönderilmez. | Tasarımı gereği uygulamaya yönelik saldırı trafiği. |
| Sonuç | Yazılı rapor: her bulgu için kanıt, önem derecesi ve öneri. | Test sırasında bulunan istismar edilebilir yollar. |
| TSmartSecurity sunuyor mu | Evet: Web Sitesi Güvenlik Denetimi. | Hayır. |
TSmartSecurity denetimi neler yapar
- TLS sertifikası ve yapılandırması: Sertifikanın geçerliliği, zinciri ve bitiş tarihi, desteklenen protokol sürümleri ve HTTP’nin HTTPS’e yönlendirilip yönlendirilmediği.
- Güvenlik başlıkları: Content-Security-Policy, Strict-Transport-Security, X-Content-Type-Options, çerçeve koruması, Referrer-Policy ve Permissions-Policy.
- Çerez ayarları: Sitenizin oluşturduğu çerezlerdeki Secure, HttpOnly ve SameSite öznitelikleri.
- DNS ve e-posta kimlik doğrulaması: SPF, DKIM ve DMARC kayıtları; böylece başkalarının alan adınızdan geliyormuş gibi görünen e-posta göndermesi zorlaşır.
- Yalnızca kesin kapsamı yazılı olarak yetkilendirmenizden sonra başlar; ödeme tek başına hiçbir zaman test yetkisi vermez.
- Sonuçları bir uzman inceler, gürültüyü ayıklar ve siteniz için neyin önemli olduğunu açıklar.
Denetimin yapmadıkları
- Her türlü sızma testi veya istismar
- Giriş gerektiren alanlarda kimliği doğrulanmış test
- CMS, eklenti veya zararlı yazılım taraması
- Bulguların düzeltilmesi (ayrıca teklifle sunulur)
- Saldırı trafiği yok, oturum açma yok, yüksek hacimde istek yok
- Sitenizde, kodunuzda veya ayarlarınızda değişiklik yok
- Bir sitenin açıklardan arındırılmış olduğuna dair bir ifade yok
Ne zaman sızma testi gerekir
Uygulamanızın gerçekten istismar edilip edilemeyeceğini bilmeniz gerekiyorsa, bu hizmeti sunan bir sağlayıcıdan sızma testi almanız gerekir. TSmartSecurity hiçbir türde sızma testi veya istismar yapmaz; denetimi yalnızca herkese açık yapılandırmayı kapsar.
İlgili sayfalar
Sorular
Web sitesi güvenlik denetimi ile sızma testi arasındaki fark nedir?
Farklı sorulara yanıt verirler. Sızma testi, istismar edilebilir yollar bulmak için bir uygulamaya aktif olarak saldırır; geniş bir yetkilendirme ve test aralığı gerektirir. Pasif güvenlik denetimi ise yalnızca sitenin zaten gösterdiklerini okur: TLS yapılandırması, HTTP güvenlik başlıkları, çerez işaretleri, DNS ve e-posta kimlik doğrulama kayıtları. TSmartSecurity’nin Web Sitesi Güvenlik Denetimi pasif türdendir: sızma testi değil, herkese açık yapılandırma üzerine yazılı bir rapordur.
Hiçbir şeye saldırılmaz, hiçbir şey istismar edilmez veya değiştirilmez; oturum açılmaz ve yüksek hacimde istek gönderilmez. Kapsam önce yazılı olarak kararlaştırılır ve yetkilendirilir; düzeltmeler ayrıca fiyatlandırılır.