Penetration-Testing-Tools selbst kaufen und nutzen – oder ist das ein Fehler?

Man muss das klar trennen: 1) Ein Schwachstellenscan läuft automatisiert ab, Tools klopfen bekannte Lücken ab. 2) Ein Pentest ist der menschliche Versuch, über eine gefundene Lücke tatsächlich an Daten zu gelangen. Euer Kunde will Zweiteres – mit einem Tool liefert ihr nur Ersteres.

Vorsicht bei Scans in Eigenregie: Solche Tools feuern unkontrolliert Daten in Webformulare. Wenn ihr das auf Prod laufen lasst, müllt ihr euch die Datenbank voll. Hängt da eine SMS- oder Payment-API dran, gehen tausende Calls raus und euer API-Guthaben ist in Minuten verbrannt. Testet das niemals auf dem Live-System.

Genau den Fehler haben wir vor zwei Jahren gemacht. Wir haben einem Bankkunden den Scan-Report unseres eigenen Tools vorgelegt. Deren Security-Team hat uns direkt um die Ohren gehauen, dass 14 angebliche kritische Warnungen reine False Positives waren, während eine banale Berechtigungslücke gar nicht auftauchte. Der Imageschaden war deutlich teurer als die gesparten 4.000 GBP.

Seid ihr sicher dass der Dienstleister für 5.500 GBP wirklich manuell testet? Viele Agenturen jagen exakt dieselben Tools drüber, kippen die Logs in ein Template und stellen das als Pentest in Rechnung. Fragt vorab genau nach Scope, Methodik und wie viele Stunden manueller Analyse im Bericht stecken.

Sicherheitsklauseln in Enterprise-Verträgen verlangen in der Regel Tests durch akkreditierte, unabhängige Prüfer. Ein selbst erstellter interner Prüfbericht schützt euch bei einem Sicherheitsvorfall rechtlich überhaupt nicht und kann wegen Vertragsbruchs sogar direkt zu Schadensersatzforderungen führen.

Schaut in den Security-Fragebogen des Kunden. Steht dort explizit "Third-Party Independent Penetration Test", erübrigt sich das mit dem eigenen Tool sofort. Verhandelt lieber mit der Agentur: Scope bei IPs und Domains etwas einschränken und versuchen, den Preis auf rund 4.000 GBP zu drücken.

Brems euren Entwickler nicht aus, nutzt das Tool einfach intern als Sicherheitsnetz in der Entwicklung. Wenn ihr vor dem eigentlichen Audit selbst scannt und die groben Lücken schließt fällt der externe Bericht sauber aus – und ihr steht beim Kunden gleich viel professioneller da.

Edit: Ich habe vom Handy geschrieben, entschuldigt die Tippfehler.

gespeichert.

Dem kann ich nicht ganz zustimmen. Ein nicht getestetes Backup ist kein Backup.

Entscheidend ist nicht die Zahl, sondern worauf sie sich bezieht. Ich hoffe, das hilft dir weiter.

Das wusste ich nicht. Menschen verteidigen nicht den Prozess, sondern die Gewohnheit. naja der Widerstand kommt daher.

Viel Erfolg.

ich stimme voll und ganz zu dann ehrlich gesaagt kein Prozess ohne Dokumentation verbessert sich weil man nicht weiß was man verbessern soll.

ich hoffe, das hilft dir weiter.

Die obige Antwort bringt es auf den Punkt. Beginnt mit einem kleinen Test, bindet nicht gleich alles fest.

Aus Erfahrung weiß ich das.

Letztes Jahr haben wir fast genau dasselbe erlebt. Wenn die Zwei-Faktor-Authentifizierung aktiv ist, reicht ein gestohlenes Passwort allein nicht aus.

Wenn man versucht alles gleichzeitig zu ändern, etabliert sich nichts richtig. Aus Erfahrung weiß ich das.

Ich möchte kurz warnen. Das allein zu versuchen, ist der teuerste Weg.

Ein automatisierter Scan-Report ist kein Penetrationstest. Wenn deine Situation anders ist, ändert sich das natürlich.

Bleibe dran.

Letztes Jahr haben wir fast genau dasselbe erlebt. Vergessene Testumgebungen sind häufiger das Einfallstor als das Live-System.

Das ist meine Meinung ich behaupte nicht, dass es absolut richtig ist.

Mich interessiert das auch.