Wir lassen einen Penetrationstest für unsere Web-App machen, wollen uns aber vorbereiten – gibt es eine Checkliste zum Selberprüfen?

Wir haben letztes Jahr für eine ähnliche B2B-Software 5.000 Pfund für einen Pentest hingelegt. Weil wir uns null vorbereitet hatten, bestanden 14 der 22 Findings aus fehlenden HTTP-Headern und Standard-Server-Responses. Wir haben uns grün und blau geärgert, als wir sahen, dass locker 1.500 Pfund vom Beraterbudget nur dafür draufgingen, so banales Zeug zu dokumentieren.

Der kritischste Punkt ist die Stabilität der Testumgebung. Setzt auf jeden Fall einen separaten Testserver mit anonymisierten Produktivdaten auf, niemals direkt auf Live testen lassen. Wenn der Tester Payloads abfeuert, die DB zerschießt oder Queues verstopft, darf euer Tagesgeschäft nicht stehenbleiben. Und ganz wichtig: Für die Dauer des Pentests gilt absoluter Deployment-Stopp fürs Dev-Team.

Schaut euch Input-Validierung und Session-Handling an. Checkt Formularfelder und URL-Parameter auf sauberes Escaping von Sonderzeichen. Stellt sicher, dass alle Usereingaben vor dem Schreiben in die Datenbank richtig gefiltert werden und dass Session-Tokens beim Logout serverseitig komplett invalidiert werden. Solche Lücken verhageln euch das Testergebnis sofort.

Übertreibt es bei den internen Vorbereitungen nicht damit, das Setup künstlich zu vereinfachen. Manche Devs schalten für den Test einfach die Firewall komplett ab oder knipsen Schutzmechanismen aus, "damit es leichter geht". Dann ist der Bericht zwar sauber aber im Live-Betrieb knallt es sofort. Die Testumgebung muss eine exakte 1:1-Kopie der Prod-Konfiguration sein.

Gebt den Testern jeweils zwei funktionierende Accounts aus mindestens zwei verschiedenen Rollen: zwei Standardnutzer und zwei Admins. Dazu noch einen komplett eingeschränkten Demo-Account. Dann können sie Privilege-Escalation- und IDOR-Tests direkt ab Stunde eins ohne Verzögerung durchziehen.

Ist der Test als White-Box oder Black-Box vereinbart? Wenn ihr Quellcode und API-Specs teilt sollte die Bereitstellung sauberer Doku eure oberste Priorität sein. Wenn der Tester keinen Code-Zugriff bekommt solltet ihr euren Fokus komplett auf die öffentlich erreichbaren Endpunkte legen.

Ihr geht das genau richtig an. Die Vorbereitung schärft auch das Sicherheitsbewusstsein im eigenen Team massiv. Macht am besten einen halben Tag internen Security-Workshop, geht die OWASP-Top-10 einmal direkt am Code durch, dann holt ihr das absolute Maximum aus dem Pentest heraus.

unbedingt die tester-ip in der firewall whitelisten. bei unserem pentest wurde der typ am ersten tag direkt geblockt die haben nen halben tag per mail rumgemacht bis die ip frei war, pure geldverschwendung.

Ich stimme zu.

Bei mir war es genau umgekehrt, deshalb schreibe ich das. Lösungen die im kleinen Maßstab funktionieren, brechen bei Wachstum zusammen, das habe ich spät gelernt.

Je schwerer es ist, eine Entscheidung rückgängig zu machen, desto langsamer solltet ihr sie treffen. Aus Erfahrung weiß ich das.

Wenn du so vorgehst, kläre das vorher. Kein Prozess ohne Dokumentation verbessert sich, weil man nicht weiß, was man verbessern soll.

Das ist meine Meinung, ich behaupte nicht, dass es absolut richtig ist.

Ich fasse kurz zusammen, was bisher gesagt wurde. Ein automatisierter Scan-Report ist kein Penetrationstest.

Viel Erfolg.

Dieses Thema ist archiviert.

Bei uns war es so. halt wenn du das nicht von Anfang an schriftlich festhältst, gibt es später Streit.

Vergessene Testumgebungen sind häufiger das Einfallstor als das Live-System. Wenn ihr das Ergebnis hier postet, hilft es auch anderen.

Ich sehe das anders. Wenn wir ohne Messung entscheiden, landen wir immer wieder am selben Punkt.

Ein nicht getestetes Backup ist kein Backup. Schreibt mir, wenn ihr Fragen habt, ich antworte so gut ich kann.

Ich habe keinerlei Erfahrung mit web anwendung penetrationstest, deshalb frage ich. Dass das Backup im gleichen Netzwerk und mit derselben Identität erreichbar ist, macht es zum Teil des Ziels.

Schreibt mir, wenn ihr Fragen habt, ich antworte so gut ich kann.

Ein Thema das gerade aktuell ist.

Meine Frage klingt vielleicht etwas naiv, entschuldigt bitte. Die meisten Vorfälle beginnen nicht mit einer Schwachstelle, sondern mit einem geleakten Passwort.