Uns werden automatisierte Tools zur Schwachstellenanalyse empfohlen — ersetzen die einen Penetrationstest oder ist das was anderes?

Scan-Tools schauen auf HTTP-Statuscodes und bekannte CVE-Signaturen. Zum Beispiel kann kein automatisches Tool Geschäftslogik-Lücken wie das Setzen eines negativen Warenkorbwerts und die anschließende Bestellbestätigung in eurem B2B-Portal erkennen. Deshalb ist der manuelle Test Pflicht.

Lest die Spezifikation, die euer Kunde verlangt Wort für Wort. Steht da 'Penetration testing' oder 'vulnerability assessment'? Wenn der Kunde ein Unternehmen ist, legen sie euch am Tag, an dem ihr den automatischen Scan-Bericht abgebt, den Vertrag wieder vor und verlangen einen Pentest, und die 1.400 EUR sind umsonst.

Bevor ihr euch entscheidet, geht diese Reihenfolge durch: 1) Fragt das Compliance-Team des Kunden, welches Berichtsformat sie akzeptieren. 2) Schließt die Betriebssystem- und Bibliotheks-Updates auf eurem Server mit dem internen Team ab. 3) Lenkt das restliche Budget in einen gezielten manuellen Test, der nur die kritischen API-Endpunkte abdeckt.

Letztes Jahr sind wir bei einem Kunden mit Sitz in Madrid in einen ähnlichen Fehler getappt. Wir haben 1.100 EUR gezahlt und einen automatischen Scan-Bericht vorgelegt. Das Prüfteam hat ihn zwei Tage später mit 'das ist nur Tool-Output, kein Missbrauchsnachweis' abgelehnt. Wir mussten obendrauf nochmal 3.000 EUR zahlen und einen manuellen Test machen lassen.

Was die Beratungsfirma für 1.400 EUR anbietet ist wahrscheinlich nichts weiter, als eure Domain in eine kommerzielle Scan-Software einzutragen und auf 'Start' zu drücken. Sie werden ein 40-seitiges PDF mit bunten Grafiken rausziehen und abliefern. Bevor ihr dafür Geld ausgebt könnt ihr mit Open-Source-Tools selbst einen ähnlichen Scan machen.

Betreibt ihr in eurem Portal eine Zahlungsinfrastruktur oder haltet ihr sensible personenbezogene Daten? Und außerdem: Welcher Regulierung unterliegt euer Kunde genau? Manche öffentlichen Ausschreibungen in Spanien verlangen aufgrund der ENS-Norm direkt einen akkreditierten Pentest-Bericht.

Die zwei Begriffe werden sehr oft verwechselt macht euch keinen Kopf. also ein automatischer Scan ist wie eine Blutuntersuchung, er zeigt den allgemeinen Zustand. Ein Penetrationstest ist der Chirurg, der eingreift und das eigentliche Problem findet... Wenn ihr euren Kunden überzeugen wollt, ist der Chirurg Pflicht.

ich würd den kunden direkt fragen ob er einen pentest-bericht erwartet oder ob ein schwächen-scan reicht. verschwendet nicht von anfang an 3500 euro wenn sie nur so ein formalitäts-scan-dokument wollen.

Bleibe dran.

Ein Thema, das gerade aktuell ist.

Ich stimme zu, möchte das sogar besonders betonen. Beginnt mit einem kleinen Test, bindet nicht gleich alles fest.

Beginnt mit einem kleinen Test, bindet nicht gleich alles fest. Schreibt mir, wenn ihr Fragen habt, ich antworte so gut ich kann.

Gespeichert.

Du hast recht.

Ich bin in derselben Situation, deshalb frage ich. Der meiste Zeitverlust entsteht durch Arbeiten, die auf Freigaben warten.

Nur als Notiz, könnte nützlich sein.

Entschuldigung aber das gilt nicht in jedem Fall. Beginnt mit einem kleinen Test bindet nicht gleich alles fest.

Wenn die Zwei-Faktor-Authentifizierung aktiv ist, reicht ein gestohlenes Passwort allein nicht aus.

Genau so, und das ist zudem kaum bekannt. Lösungen, die im kleinen Maßstab funktionieren, brechen bei Wachstum zusammen, das habe ich spät gelernt.

Korrigiert mich, falls ich falsch liege.

Ich stimme zu.

Richtig.