Wir bekommen unseren ersten Pentest-Report: Was gehört in einen guten Bericht und worauf muss man achten?

Schaut euch bei jeder Schwachstelle die CVSS-Bewertungslogik an. Ein pauschales Label wie "Kritisch" oder "Mittel" reicht nicht. Der Vector String muss transparent aufgeführt sein, zusammen mit Request-Bodies oder PoC-Kommandos, die belegen, dass die Lücke wirklich ausnutzbar ist. Wenn das fehlt, müssen eure Entwickler beim Patchen quasi blind herumprobieren.

Wenn der Bericht auf eurem Tisch landet, prüft diese drei Dinge: 1) Wurde der Scope eingehalten oder wurden alle im Vertrag vereinbarten Subdomains gescannt? 2) Lässt sich jede gefundene Schwachstelle Schritt für Schritt nachstellen? 3) Passen die Lösungsvorschläge zu eurem Betriebssystem und den von euch verwendeten Libraries?

Edit: Ich habe oben etwas falsch geschrieben, entschuldigung.

Bei unserem ersten Test in Paris, für den wir 5.200 Euro gezahlt haben, kamen 48 Befunde zurück. Als wir genauer hinschauten, waren 22 davon völlig irrelevante Versions-Banner vom Server. Wir haben interveniert, ausgemistet und uns voll auf die verbliebenen 6 kritischen Lücken konzentriert. Es zählt nicht die Seitenzahl des Berichts, sondern wie viele echte kritische Schwachstellen nach dem Aussieben übrig bleiben.

Sobald der Bericht da ist, setzt euch direkt mit euren Entwicklern zusammen. Versucht die beiden schwerwiegendsten Lücken in der Dev-Umgebung genau nach den Schritten im Report selbst zu reproduzieren. Wenn eure Entwickler den Fehler damit nicht nachstellen können, ist der Bericht unvollständig – verlangt in dem Fall eine Live-Demo vom Tester.

wir hatten beim ersten report voll panik weil da seitenweise ssl-warnungen drin waren, am ende war das nur der scanner-output. der tester hat manuell nicht mal ne einzige api injection probiert. wenn keine screenshots und payloads dabei sind, schickt das teil direkt zurück sag ich euch.

Hinweis: Dies ist meine persönliche Erfahrung, das muss nicht auf alle zutreffen.

Habt ihr den Scope im Vertrag eigentlich als Black-Box oder White-Box festgelegt? Wenn ihr dem Tester Quellcode oder Test-Accounts gegeben habt, muss der Bericht deutlich tiefere Schwachstellen in der Berechtigungs- und Geschäftslogik aufdecken. Die gewählte Methode bestimmt maßgeblich, was ihr vom Bericht erwarten könnt.

Die meisten Unternehmen lassen den Pentest-Bericht nach Erhalt direkt in der Schublade verschwinden. Genauso wichtig wie die Qualität des Berichts ist aber, ob ihr einen Anspruch auf eine Nachprüfung (Re-Test) nach den Korrekturen habt. Wenn der Nachtest nicht inklusive ist, habt ihr am Ende nur ein teures Papier, das eine Momentaufnahme der Vergangenheit zeigt.

Beim Lesen dieser Antwort war ich erleichtert, es liegt also nicht nur an mir. Ein automatisierter Scan-Report ist kein Penetrationstest.

Wenn es jemand anders macht, würde mich das auch interessieren.

Es gab drei verschiedene Ansichten, die sich alle ergänzen. Ein automatisierter Scan-Report ist kein Penetrationstest.

Ich hoffe, das hilft dir weiter.

Wenn du so vorgehst, kläre das vorher. Scheut euch nicht zu fragen, wer nicht fragt, zahlt am Ende mehr.

Viel Erfolg.

Dieses Thema ist archiviert.

notiert, danke.

Du hast recht ich bin denselben Weg gegangen. Nur weil alle es tun, heißt es nicht dass es richtig ist.

Korrigiert mich, falls ich falsch liege.

funktioniert das deineer Meinung nach in jeder Größe? wenn du zu einem Thema drei verschiedene Antworten bekommst, war die Frage falsch gestellt.

die Antwort hängt stark von der Bracnhe ab es gibt keine allgemeine Regel. also viel Erfolg.

Du hast recht.

Dabei gibt es einen sehr häufigen Fehler. Wenn die Zwei-Faktor-Authentifizierung aktiv ist, reicht ein gestohlenes Passwort allein nicht aus.

Wenn der Benachrichtigungsweg lang ist, kommen keine Benachrichtigungen; keine Benachrichtigung bedeutet spät erkannte Vorfälle. Schreibt mir wenn ihr Fragen habt, ich antworte so gut ich kann.

Ein Thema, das gerade aktuell ist.

ich stimmme zu möchte das sogar besonders betonen... kein Prozess ohne Dokumentation verbessert sich weil man nicht weiß, was man verbessern soll.

die Antwort hängt stark von der Branche ab es gibt keine allgemeine Regel aber das ist meine Meinung ich behaupte nicht dass es absolut richtig ist.