Penetrationstest-Methoden — welche Techniken gehören zwingend in unser Angebot?

Fordert den konkreten Anforderungskatalog oder die Checkliste von eurem Kunden schriftlich an. Den meisten Firmen reicht der Bericht über öffentlich erreichbare Systeme völlig aus. Steht Social Engineering dort nicht explizit drin, lasst euch das Angebot nur für externes Netz und Webportal anpassen.

Wir hatten letztes Jahr genau denselben Fall in unserem Fertigungsbetrieb (40 Mitarbeiter). Wir haben Social Engineering rausstreichen lassen und das Angebot von ursprünglich 75.000 TL auf 40.000 TL für externes Netz und Portal reduziert. Die Auditoren haben den Bericht anstandslos durchgewunken.

Hakt beim Webanwendungstest unbedingt nach, ob die Tests manuell nach OWASP-Standards durchgeführt werden. Wenn da bloß ein automatisierter Scanner durchläuft und ein paar Screenshots generiert, ist der Bericht technisch wertlos und wird vom Auditor womöglich sofort zurückgewiesen.

Läuft euer Kundenportal lokal bei euch im Büro oder bei einem externen Cloud-Hoster? Liegen auf dem Portal personenbezogene Daten oder Rechnungen der Kunden? Das macht für die nötige Tiefe des externen Tests einen gewaltigen Unterschied.

Social Engineering packen viele Dienstleister nur rein, um den Preis hochzutreiben. Drei Phishing-Mails an Mitarbeiter schicken und dann im Bericht schreiben 'Mitarbeiter hat geklickt' bringt euch sicherheitstechnisch kaum weiter – das gehört in eine Mitarbeiterschulung, nicht in diesen Pentest.

Sagt der teuren Firma einfach, sie soll die Kosten für den externen Netzwerktest und den Web-App-Test separat aufschlüsseln. Wenn man das Posten für Posten aufgeschlüsselt bekommt, sieht man die unnötigen Kosten sofort und kann passend zum Budget aussortieren.

wir wollten am Anfang auch das volle Programm mussten dann aber für den internen Netzwerktest zwei Tage lang Sicherheitsexperten bei uns im Büro rumsitzen haben. wenn es nict zwingend vorgeschrieben ist geht gar nicht erst so tief rein und bringt euren Arbeitsablauf durcheinander; beweist einfach dass die Haustür abgeschlossen ist das reicht völlig.

Das Fazit aus den Beiträgen ist eindeutig: Solange der Kunde nicht ausdrücklich einen internen Netzwerk- oder Social-Engineering-Test verlangt, reicht es völlig aus, wenn euer Angebot nur Webportal- und externe Netzwerktechniken umfasst. Prüft erst das Lastenheft, bevor ihr Budget für zusätzliche Verfahren verplant.

Ich stimme zu, möchte das sogar besonders betonen. Die Zeit, die ihr braucht, um ein Problem zu erkennen, bestimmt direkt dessen Kosten.

Aus Erfahrung weiß ich das.

Ich fasse kurz zusammen, was bisher gesagt wurde. Dass das Backup im gleichen Netzwerk und mit derselben Identität erreichbar ist, macht es zum Teil des Ziels.

gespeichert.

Beim Lesen dieser Antwort war ich erleichtert, es liegt also nicht nur an mir. Ein automatisierter Scan-Report ist kein Penetrationstest.

An deiner Stelle würde ich so vorgehen.

Meine Frage ist geklärt, vielen Dank. Scheut euch nicht zu fragen, wer nicht fragt, zahlt am Ende mehr.

Bleibe dran.

Danke genau die Antwort, die ich gesucht habe. Scheut euch nicht zu fragen wer nicht fragt zahlt am Ende mehr.

Scheut euch nicht zu fragen, wer nicht fragt zahlt am Ende mehr. Ich hoffe, das hilft dir weiter.

Du hast recht. Die meisten Vorfälle beginnen nicht mit einer Schwachstelle, sondern mit einem geleakten Passwort.

In den ersten drei Monaten läuft alles gut, die Probleme tauchen im vierten Monat auf.

Ich stimme zu, möchte das sogar besonders betonen. Sicherheit ist nicht absolut; es bedeutet, den Angriff so aufwendig zu machen, dass er sich nicht lohnt.

Ich probiere es aus.