Wie läuft ein Penetrationstest ab? Möchte das erst komplett verstehen, bevor ich Angebote einhole

Macht einen Bogen um Anbieter, die euch erzählen, in zwei Tagen fertig zu sein. Die jagen da höchstens einen automatischen Scanner drüber, klatschen ihr Logo auf das Standard-PDF und kassieren ab. Für APIs und Portale, an denen ein 14-köpfiges Team sitzt, braucht ein sauberer Grey-Box-Test mindestens 5 bis 7 Arbeitstage.

Ergänzung: Wurde unten schon gefragt, die Antwort habe ich im zweiten Beitrag geschrieben.

Vorab müsst ihr vom Test-Team unbedingt die festen IPs erfragen. Die müsst ihr in eurer Firewall und WAF whitelisten. Wenn ihr das vergesst, blockt eure Firewall die Tester nach einer Minute weg und ihr verliert sinnlos bezahlte Arbeitszeit.

Wenn Sie Angebote vergleichen, stellen Sie den Firmen schriftlich diese drei Fragen: 1) Welche Branchenzertifikate hat das Testpersonal und führen sie die Tests direkt selbst durch? 2) Basiert die Testmethodik auf internationalen Standards? 3) Haben wir nach Behebung der Schwachstellen Anspruch auf einen kostenlosen Retest?

Wir haben letztes Jahr für ein ähnliches Setup mit 2 Web-Apps und 1 mobilen App Dienstleistungen eingekauft. Haben 65.000 TL gezahlt, der Test dauerte 8 Arbeitstage. Insgesamt wurden 12 Lücken gefunden, 3 davon betrafen Rechteausweitung. Unsere Entwickler haben die Lücken in 10 Tagen geschlossen, danach gab es in 2 Tagen einen Retest und der Bericht wurde abgeschlossen.

als wir das zum ersten mal machen ließen haben die auf der live-db getestet fast alle testdaten sind durcheinandergeraten. lasst die auf keinen fall auf der produktiv-db testen oder macht ne 1:1 kopie und lasst auf der staging-umgebung testen sonst ärgert ihr euch schwarz.

Verlangt Ihr Kunde den vollständigen Testbericht oder nur die Executive Summary? Den technischen Bericht mit allen Detailbefunden an den Kunden weiterzugeben, ist aus Sicht der Sicherheitspolitik riskant; fordern Sie bei der Angebotseinholung direkt auch ein Format für die Management-Zusammenfassung an.

Lassen Sie die Testzeiten und einen Notfallkontakt unbedingt vertraglich festhalten. Falls es zu unerwarteten Systemabstürzen oder Überlastungen kommt, müssen Sie über eine Koordinationsleitung verfügen um den Test mit einem einzigen Anruf sofort stoppen zu können.

wenn ich dich richtig verstehe, minst du Folgendes: Bei uns war der größte Zeitfresser die Unklarheit darüber wer entscheidet.

ich hoffe das hilft dir weiter.

Ich habe mich lange damit beschäftigt. Wenn die Zwei-Faktor-Authentifizierung aktiv ist, reicht ein gestohlenes Passwort allein nicht aus.

Aus Erfahrung weiß ich das.

Meine Frage klingt vielleicht etwas naiv, entschuldigt bitte. Nur weil alle es tun, heißt es nicht, dass es richtig ist.

Korrigiert mich, falls ich falsch liege.

Ich schreibe das, damit ihr denselben Fehler nicht macht. Menschen verteidigen nicht den Prozess, sondern die Gewohnheit. Der Widerstand kommt daher.

Jeder nicht schriftlich festgehaltene Punkt ist einer, an den sich beide Parteien später unterschiedlich erinnern. Wenn ihr das Ergebnis hier postet, hilft es auch anderen.

Beim Lesen dieser Antwort war ich erleichtert, es liegt also nicht nur an mir. In den ersten drei Monaten läuft alles gut, die Probleme tauchen im vierten Monat auf.

In den ersten drei Monaten läuft alles gut, die Probleme tauchen im vierten Monat auf. Wenn ihr das Ergebnis hier postet, hilft es auch anderen.

Ich bin ein kleines Unternehmen, ich erzähle es aus meiner Sicht. Wenn Genehmigung und Umfang nicht schriftlich vorliegen, darf der Test nicht starten.

Das ist meine Meinung, ich behaupte nicht, dass es absolut richtig ist.

Ich schreibe mal meine Erfahrung auf. Die Zeit, die ihr braucht, um ein Problem zu erkennen, bestimmt direkt dessen Kosten.

Wenn ihr das Ergebnis hier postet, hilft es auch anderen.

teilweise stimme ich zu, teilweise nicht und wenn man Fehlalarme anschreeit meldet sich danach niemand mehr.

das ist meine Meinung ich behaupte nicht, dass es absolut richtig ist.

Der am häufigsten übersehene Punkt bei penetrationstest ablauf phasen ist dieser: Entscheidend ist nicht die Zahl, sondern worauf sie sich bezieht.

Das allein zu versuchen, ist der teuerste Weg. Viel Erfolg.

wenn wir ins Detail gehen: Fehler auf der penetrationstest ablauf phasen-Seite sind meist rückgängig zu machen, aber teuer.

wenn man Fehlalarme anschreit meldet sich danach niemand mehr.. aber aus Erfahrung weiß ich das.

bei uns war es so aber änderungen an Zahlungsdaten werden niemals über den Kanal bestätigt, über den sie eingehen.

ich hoffe, das hillft dir weiter.