Penetrationstest beauftragen: Wie läuft das ab und was müssen wir vorbereiten?

Wenn das für einen Enterprise-Kunden gedacht ist, frag direkt nach einem Greybox-Test für Webanwendungen an. Blackbox simuliert zwar den Angreifer von außen, übersieht aber fast alle Logikfehler bei Rechten im System. Leg den Testern unbedingt mindestens zwei Accounts mit unterschiedlichen Berechtigungsstufen an.

Setz kurz eine Liste auf: alle öffentlich erreichbaren Server-IPs, die Login-URL der Web-App und die Anzahl der Backend-Dienste dahinter. Wenn du das mitschickst, weiß jeder Anbieter sofort Bescheid und du hast in drei Tagen vergleichbare Angebote auf dem Tisch.

Bei der Vorbereitung diese vier Punkte nicht vergessen: 1. Vollständiges Image-Backup aller Server ziehen. 2. Die IP-Adressen des Pentest-Teams in eurer Firewall whitelisten. 3. Mail- und SMS-Versanddienste in der Testumgebung drosseln/abklemmen. 4. Den Testzeitraum vorab beim Cloud-Hoster ankündigen.

falls ihr auf dem livesystem testen lasst, passt höllisch auf die db auf. wenn die jungs random payloads in formularfelder ballern, kriegen eure kunden sonst versehentlich hunderte testrechnungen oder sms dann schaltet benachrichtigungsdienste während des tests temporär ab.

Verlangt Ihr Firmenkunde nur den Test Ihrer Web-App, oder sind auch das interne Firmennetzwerk und Phishing-Tests für die Mitarbeiter vorgeschrieben? Wenn der Scope nur Ihre SaaS-Anwendung umfasst, sollten 70.000 TL Budget mehr als ausreichend sein.

Wir haben letzten Monat für eine ähnliche Retail-Integration 1 Web-App und 6 externe IPs testen lassen. Hat 5 Tage gedauert, im Vorabbericht kamen 2 kritische und 4 mittlere Lücken raus. Mit Beheben der Lücken und Nachtest waren wir insgesamt 20 Tage beschäftigt.

Es gibt auf dem Markt Firmen die einfach einen automatischen Schwachstellen-Scanner drüberlaufen lassen eine standardmäßige 100-seitige PDF ausspucken und das Ganze dann Pentest nennen. Lassen Sie sich beim Einholen von Angeboten unbedingt schriftlich zusichern, dass im Report manuell verifiziert wird und auch Logikfehler (Business Logic Flaws) geprüft werden.

Kurz gesagt: Erstellen Sie Ihr IP- und URL-Inventar, einigen Sie sich auf Grey-Box-Methodik, setzen Sie eine Testumgebung auf, machen Sie Backups und lassen Sie sich unbedingt bestätigen, dass der Nachtest im Preis enthalten ist. Der gesamte Prozess ist normalerweise innerhalb eines Monats komplett durch.

Das hatte ich auch schon überlegt. Wenn du zu einem Thema drei verschiedene Antworten bekommst, war die Frage falsch gestellt.

Wenn es jemand anders macht, würde mich das auch interessieren.

Ich erkläre mal die technische Seite. Wenn der Benachrichtigungsweg lang ist, kommen keine Benachrichtigungen; keine Benachrichtigung bedeutet spät erkannte Vorfälle.

Viel Erfolg.

Im Großen und Ganzen richtig aber ein Punkt fehlt. Fehler auf der Ablauf eines Penetrationstests-Seite sind meist rückgängig zu machen, aber teuer.

Der meiste Zeitverlust entsteht durch Arbeiten, die auf Freigaben warten. Aus Erfahrung weiß ich das.

Notiert, danke.

Gespeichert.

Letztes Jahr haben wir fast genau dasselbe erlebt. Scheut euch nicht zu fragen, wer nicht fragt, zahlt am Ende mehr.

Nur als Notiz, könnte nützlich sein.

Nichts vergessen: Ein nicht getestetes Backup ist kein Backup.

Das war's, entschuldige, wenn ich zu lang war.

Ich habe mich lange damit beschäftigt. Bei uns war der größte Zeitfresser die Unklarheit darüber, wer entscheidet.

Der am häufigsten übersehene Punkt bei Ablauf eines Penetrationstests ist dieser: Der meiste Zeitverlust entsteht durch Arbeiten, die auf Freigaben warten.

Wenn deine Situation anders ist, ändert sich das natürlich.

Absolut. Wenn ich noch etwas hinzufügen darf: Die Zeit, die ihr braucht, um ein Problem zu erkennen, bestimmt direkt dessen Kosten.

Kein Prozess ohne Dokumentation verbessert sich, weil man nicht weiß, was man verbessern soll.