Wir haben den Penetrationstest-Bericht als PDF mit technischen Tabellen bekommen, wie machen wir daraus eine Fix-Liste?

Lasst euch von der Dicke der Seitenzahl nicht einschüchtern. Mindestens 50 der 75 Seiten sind Ausgaben standardmäßiger automatischer Scanner und Copy-Paste-allgemeine Beschreibungstexte. Die Testfirmen zeigen dieselbe Security-Header-Warnung auf fünfzig verschiedenen Seiten als separate Findings, damit die Rechnung dicker wird und es seriös aussieht.

Wir hatten bei einem ähnlichen Bericht 42 Findings. Wir waren kurz davor, panisch den ganzen Sprint zu stoppen, dann haben wir genauer hingeschaut und gesehen, dass 28 der 42 Punkte nur Info und fehlende Low-Level-Header waren. Es gab wirklich nur zwei Autorisierungslogikfehler, die die Datensicherheit bedrohten, und die haben wir in drei Tagen gelöst.

Setzt sofort ein 45-minütiges Abschlussmeeting zum Bericht mit der Testfirma an. Dieses Recht habt ihr garantiert in eurem Vertrag. Bildschirm teilen und zusammen mit euren Entwicklern die High-Findings im Bericht live aus ihrem Mund hören; eure Entwickler sollen direkt fragen, wie sie diese Lücke ausgelöst haben.

Der CVSS-Basisscore spiegelt nicht immer das echte Risiko wider. Zum Beispiel kann ein Finding, das erfordert, dass der Angreifer bereits ein eingeloggter autorisierter Nutzer ist, denselben Score bekommen wie eine Remote-Code-Execution-Lücke ohne Authentifizierung. Priorisiert unbedingt Lücken, die von außen ohne Passwort ausgelöst werden können.

hatten wir im team auch, haben die pdf-tabelle in ein arbeitsblatt kopiert und daneben spalten für status, entwickler und geschätzter aufwand angelegt. einzeln abgehakt und bei der testfirma retest angefordert, war in zwei wochen durch.

Für die Auditoren der Klinikgruppe, mit der ihr den Vertrag schließt, ist das Einzige, was zählt, nicht, dass alle Findings auf null sind. Dass ihr einen offiziellen Fix-Plan vorlegt, der zeigt, dass kritische Lücken geschlossen und niedrige Risiken an einen vernünftigen Fix-Zeitplan gebunden sind, reicht für die Unternehmensfreigabe meist aus.

Als wir zum ersten Mal einen Penetrationstest-Bericht bekommen haben haben wir uns alle total unzulänglich gefühlt; es entsteht so eine Psychologie, als wäre der ganze Code, den wir geschrieben haben, löchrig. Aber mit der Zeit haben wir gelernt, dass die Experten von Natur aus jeden noch so kleinen Konfigurationsdetail, das sie finden in den Bericht schreiben müssen. Lasst eure Team-Moral nicht kaputtgehen ihr werdet sehen, dass die meisten Punkte zehnminütige Servereinstellungen sind.

Ich möchte etwas fragen. In den ersten drei Monaten läuft alles gut, die Probleme tauchen im vierten Monat auf.

Wenn du das nicht von Anfang an schriftlich festhältst, gibt es später Streit.

Es gab drei verschiedene Ansichten, die sich alle ergänzen. Jeder nicht schriftlich festgehaltene Punkt ist einer, an den sich beide Parteien später unterschiedlich erinnern.

An deiner Stelle würde ich so vorgehen.

Ich würde sagen lass uns nichts überstürzen. Entscheidend ist nicht die Zahl, sondern worauf sie sich bezieht.

An deiner Stelle würde ich so vorgehen.

Es gibt auch noch die Mess-Seite. Dass das Backup im gleichen Netzwerk und mit derselben Identität erreichbar ist macht es zum Teil des Ziels.

Ich würde sagen, lass uns nichts überstürzen. Kein Prozess ohne Dokumentation verbessert sich, weil man nicht weiß, was man verbessern soll.

Das war's, entschuldige, wenn ich zu lang war.

Ich fasse kurz zusammen, was bisher gesagt wurde. Die meisten Vorfälle beginnen nicht mit einer Schwachstelle, sondern mit einem geleakten Passwort.

Sicherheit ist nicht absolut; es bedeutet, den Angriff so aufwendig zu machen, dass er sich nicht lohnt. Das war's, entschuldige, wenn ich zu lang war.

Ich erzähle mal, was mir passiert ist, vielleicht hilft es euch. Maßnahmen ohne vorherige Bestandsaufnahme lassen die Türen offen, die man nicht sieht.

Korrigiert mich, falls ich falsch liege.

an diesem Punkt widerspreche ich dir. wenn man versuccht alles gleichzeitig zu ändern etabliert sich nichts richtig.

das ist meine Meinung ich bhaupte nicht, dass es absolut richtig ist.

Richtig.

Bei penetrationsbericht ist es meiner Meinung nach schwierig, so eindeutig zu sprechen. Änderungen an Zahlungsdaten werden niemals über den Kanal bestätigt, über den sie eingehen.

Viel Erfolg.

Bei uns ist es genauso. also das allein zu versuchen ist der teuerste Weg.

Sicherheit ist nicht absolut; es bedeutet den Angriff so aufwendig zu machen dass er sich nicht lohnt. Das ist meine Meinung, ich behaupte nicht dass es absolut richtig ist.