Wir haben ein Pauschalangebot für einen Standard-Penetrationstest erhalten – was genau ist der Unterschied zu einem umfassenden Test?

Die größte Schwachstelle von Billigpaketen ist das Übersehen von Broken Object Level Authorization (BOLA). Automatisierte Tools schießen zwar HTTP-Requests mit Zufallswerten ab, aber sie prüfen nicht, ob Mandant A in einem Logistikportal mit dem Token von Mandant B plötzlich fremde Lieferscheine abrufen kann. Solche Dinge lassen sich ausschließlich manuell testen.

Stellen Sie beiden Anbietern schriftlich folgende drei Fragen: 1) Wie viele Stunden manueller Exploitation-Aufwand sind einkalkuliert? 2) Sind API-Endpunkte und mobile Schnittstellen vollständig abgedeckt? 3) Ist nach Behebung der Funde ein kostenloser Nachtest (Re-Test) enthalten? Anhand der Antworten sehen Sie sofort, woher die Preisdifferenz kommt.

Wir haben letztes Jahr in Dschidda für einen ähnlichen Deal 14.000 SAR für ein Standardpaket hingelegt. Von dem 18-seitigen Bericht waren 15 Seiten allgemeines Blabla und ungefilterter Scanner-Output. Das Sicherheitsteam des Kunden hat den Bericht postwendend abgelehnt. Am Ende mussten wir zähneknirschend nochmal 32.000 SAR für einen vernünftigen Test ausgeben.

habt ihr die Firma mit dem billigsten Angebot nicht mal nach der Scope-Liste gefragt? die geben wahrscheinlich nen IP-Bereich ein, starten das Tool und liefern drei Tage später den PDF-Output ab dann übrigens wenn der Sicherheitsmanager eures Kunden ein bisschen Ahnung hat fliegt der Bericht direkt vom Tisch.

die standard-dinger bleiben meistens wie so n buttontest. wenn se keinen quellcode oder api-doku verlangt haben, lassen se das eh automatisch durchlaufen, in drei tagen kriegste n manuellen test niemals fertig.

Schickt dem Informationssicherheitsmanager der Gegenseite das Scoping-Dokument vorab. Zahlt keiner Firma was, bevor ihr nicht schriftlich bestätigt habt, welche Testart sie akzeptieren.

Wie ist der Umfang des Penetrationstests im Vertraulichkeits- und Dienstleistungsvertrag mit dem Kunden beschrieben? Wird Black-Box oder White-Box verlangt? Und gibt es in eurem System Zahlungsabwicklung oder sensible Kundendaten?

Bei unserem ersten B2B-Kunden haben wir an der Ausgabe gespart und so nen fertigen Pakettest gekauft, System war sauber wir haben uns gefreut. Zwei Monate später hat der Buchhalter des Kunden gemerkt dass er durch Ändern des URL-Parameters die Frachtrechnungen der Konkurrenzfirma runterladen konnte. An dem Tag haben wir kapiert dass der Standardtest nur ne Illusion ist.

Ich würde mich freuen, wenn du das Ergebnis postest. Scheut euch nicht zu fragen, wer nicht fragt, zahlt am Ende mehr.

Kein Prozess ohne Dokumentation verbessert sich, weil man nicht weiß, was man verbessern soll. An deiner Stelle würde ich so vorgehen.

Ich hätte eine Frage, möchte aber nicht vom Thema abschweifen. Schaut zuerst, welche Daten ihr bei der Entscheidungsfindung zur Hand habt.

Die Antwort hängt stark von der Branche ab, es gibt keine allgemeine Regel. Ich hoffe, das hilft dir weiter.

ich stimme zu.

Gut, dass du diesen Thread eröffnet hast.

Beim Umsetzen gibt es drei Dinge zu beachten. Wenn man versucht, alles gleichzeitig zu ändern, etabliert sich nichts richtig.

Nur als Notiz, könnte nützlich sein.

Richtig. Beginnt mit einem kleinen Test bindet nicht gleich alles fest.

Viel Erfolg.

Vor zwei Jahren habe ich genau dasselbe erlebt. Ein nicht getestetes Backup ist kein Backup.

Entscheidend ist nicht die Zahl, sondern worauf sie sich bezieht.

Ich möchte etwas fragen. Zwei Wochen Notizen machen liefert bessere Ergebnisse als eine sechsmonatige Schätzung.

Nur als Notiz, könnte nützlich sein.

Bleibe dran.

Kannst du das etwas genauer erklären? Wenn die Zwei-Faktor-Authentifizierung aktiv ist, reicht ein gestohlenes Passwort allein nicht aus.

Schreibt mir, wenn ihr Fragen habt, ich antworte so gut ich kann.