Nach wie vielen Tagen sollte der Pentest-Bericht vorliegen — worauf muss man beim Musterbericht achten?

Schaut im Musterbericht vor allem auf den PoC-Teil (Proof of Concept). Bei einem echten Pentest muss der Tester per Screenshot nachweisen, dass er tatsächlich unbefugt Daten abgreifen oder Befehle ausführen konnte. Anbieter, die nicht mal die False Positives der automatisierten Scanner aussortieren, könnt ihr direkt vergessen.

Lasst folgende Punkte unbedingt im Dienstleistungsvertrag verankern: 1) Kritische und hohe Befunde werden innerhalb von 24 Stunden per E-Mail vorab gemeldet, 2) Der Berichtsentwurf kommt spätestens 5 Arbeitstage nach Testende, 3) Nach Behebung der Lücken gibt es innerhalb von 30 Tagen einen einmaligen kostenlosen Nachtest (Re-Test).

Letzten Monat war unser Test für App und API durch. Freitagabend war der Test beendet, Dienstagmorgen lag der Entwurf auf dem Tisch. Es gab 4 kritische Lücken; unser Dev-Team hat die innerhalb von 10 Tagen behoben, und am nächsten Tag hat der Anbieter nachgetestet und den sauberen Abschlussbericht geschickt. 15 Arbeitstage auf einen Bericht zu warten blockiert euren kompletten Fix-Zeitplan.

Verlangt von dem Anbieter mit den 15 Tagen eine Klausel für tägliche Zwischenberichte bei kritischen Befunden. Wenn die sich querstellen: direkt aussortieren. Wenn beim Pentest SQL-Injections oder RCEs auftauchen, zwei Wochen tatenlos abzuwarten, grenzt an geschäftlichen Selbstmord.

Manche, die den Bericht in 3 Tagen liefern, schreiben den allerdings auch nicht selbst: Die klicken einfach beim automatisierten Scanner auf 'Als PDF exportieren' und klatschen euer Logo aufs Deckblatt. Achtet beim Musterbericht nicht nur auf die Zeit, sondern vor allem darauf, ob die Analysen wirklich von Hand für euer System geschrieben sind.

wer keinen musterbericht zeigt mit dem verhandelt man gar nicht erst... man unterschreibt doch nicht die katze im sack. seriöse häuser haben immer freigegebene geschwärzte beispiele parat.

Achtet im Vertrag auch penibel auf das Zeitfenster für den Nachtest (Re-Test). Das Beheben der Lücken dauert seine Zeit. Wenn der Dienstleister sich verpflichtet, innerhalb von 30 oder 45 Tagen nach Berichtsübergabe kostenlos nachzutesten, spart das später massiv Ärger.

wenn der Test 5 Tage dauert der Bericht aber 15, hängt der Pentester wahrscheinlich schon beim nächsten Kunden im Netzwerk statt den Report zu tippen. wenn ihr wirklich eine kritische Lüccke habt, finden Scan-Bots im Netz die längst, bevor ihr nach zwei Wochen davon erfahrt.

Absolut. Wenn ich noch etwas hinzufügen darf: Bei uns war der größte Zeitfresser die Unklarheit darüber, wer entscheidet.

Lösungen, die im kleinen Maßstab funktionieren, brechen bei Wachstum zusammen, das habe ich spät gelernt. Nur als Notiz, könnte nützlich sein.

Entschuldigung, aber das gilt nicht in jedem Fall. Dass das Backup im gleichen Netzwerk und mit derselben Identität erreichbar ist, macht es zum Teil des Ziels.

Hier habe ich einen Einwand. Schaut zuerst, welche Daten ihr bei der Entscheidungsfindung zur Hand habt.

Schaut zuerst, welche Daten ihr bei der Entscheidungsfindung zur Hand habt. Wenn es jemand anders macht, würde mich das auch interessieren.

Notiert, danke.

Ein Thema das gerade aktuell ist. Je schwerer es ist, eine Entscheidung rückgängig zu machen, desto langsamer solltet ihr sie treffen.

Schreibt mir, wenn ihr Fragen habt, ich antworte so gut ich kann.

Ich möchte etwas fragen. Menschen verteidigen nicht den Prozess, sondern die Gewohnheit. Der Widerstand kommt daher.

Das ist meine Meinung, ich behaupte nicht, dass es absolut richtig ist.

du hast recht. je schwerer es ist, eine Entscheidung rückgängig zu machen desto langsamer solltet ihr sie treffen.

ich möchte etwas fragen aber wenn der Benachrichtigungsweg lang ist kommen keine Benachrichtigungen; keiine Benachrichtigung bedeutet spät erkannte Vorfälle.

verlasst euch nicht auf eine einzige Maßnahme; geht schichtweise vor. schreibt mir wenn ihr Fragen habt ich antworte so gut ich kann.

Vielen Dank, ich werde es heute testen. Wenn du das nicht von Anfang an schriftlich festhältst, gibt es später Streit.

Ein automatisierter Scan-Report ist kein Penetrationstest. Viel Erfolg.

Gut gemacht.