Penetrationstest verlangt Behebung binnen 30 Tagen: Sind übliche Fristen überhaupt realistisch?

Mindestens die Hälfte der mittleren Findings sind wahrscheinlich fehlende HTTP-Security-Header, veraltete Krypto-Ciphers oder Software-Versionsanzeigen im Header. Das könnt ihr ganz ohne Coden an einem halben Tag über einfache Konfigdateien auf dem Server oder am Cloud-Proxy abhaken.

Ruft direkt bei der Testfirma an. Sagt einfach: „Wegen unserer Entwicklungskapazitäten beheben wir zuerst kritisch und hoch und wollen dafür den Nachtest, für den Rest brauchen wir Aufschub.“ Normalerweise haben die kein Problem damit die Frist auf 60 Tage zu verlängern.

Branchenüblich sind meist folgende Fristen: 1) Kritisch: spätestens binnen 7 bis 14 Tagen, 2) Hohes Risiko: spätestens nach 30 Tagen, 3) Mittleres Risiko: 60 bis 90 Tage, 4) Niedriges Risiko: 180 Tage oder im Rahmen regulärer Wartungsfenster.

Edit: Ich habe ein paar Tippfehler korrigiert.

Pentest-Buden machen da gern Druck mit ihren 30 Tagen, damit sie das Projekt schnell vom Tisch haben und ihre Planung stimmt. Kein B2B-Kunde kündigt den Vertrag wegen mittlerer Findings, wenn ihr das vernünftig begründet – also bloß keinen Murks aus Panik zusammenschustern.

wenn ihr 28 bugs auf einen dev ablädt bleibt das produkt liegen und durch die panik-patches reißt ihr nur neue lücken auf. übrigens lasst ihn nur die 3 kritischen dinger machen.

Wir hatten vor zwei Jahren genau denselben Fall und haben unseren einzigen Entwickler drei Wochen lang komplett auf den Pentest-Bericht angesetzt. Ende vom Lied: Wichtige Features für Kunden verspäteten sich um einen Monat und der Cashflow geriet ins Wanken. Später stellte sich heraus, dass 15 der mittleren Lücken einfach über interne Netzwerkeinschränkungen hätten abgefedert werden können. Ihr müsst immer die Balance zwischen umsatzrelevanten Aufgaben und dem echten Angriffsrisiko halten.

Erstellen Sie für Ihren Kunden einen Remediation-Plan. Wenn Sie darin konkrete Zieldaten für die kritischen und hohen Schwachstellen nennen und für mittlere Risiken die getroffenen Übergangsmaßnahmen darlegen, reicht das für die Compliance-Prüfung meist vollkommen aus.

Fixt sofort die drei kritischen Punkte und gebt dem Kunden für den Rest eine dreimonatige Roadmap.

Die obige Antwort bringt es auf den Punkt. Wenn du das nicht von Anfang an schriftlich festhältst, gibt es später Streit.

vielen Dank, ich werde es hete testen.

Mich interessiert das auch.

Vielen Dank, ich werde es heute testen. Wer bei Fristen Sicherheitslücken schließen hetzt, stolpert alle an derselben Stelle.

Wenn der Benachrichtigungsweg lang ist kommen keine Benachrichtigungen; keine Benachrichtigung bedeutet spät erkannte Vorfälle. Korrigiert mich, falls ich falsch liege.

Wenn du so vorgehst, kläre das vorher. Fehler auf der Fristen Sicherheitslücken schließen-Seite sind meist rückgängig zu machen, aber teuer.

Es gibt auch noch die Mess-Seite. Beginnt mit einem kleinen Test, bindet nicht gleich alles fest.

An deiner Stelle würde ich so vorgehen.

Bei mir war es genau umgekehrt, deshalb schreibe ich das. Die meisten Vorfälle beginnen nicht mit einer Schwachstelle, sondern mit einem geleakten Passwort.

Zwei Wochen Notizen machen liefert bessere Ergebnisse als eine sechsmonatige Schätzung. Korrigiert mich, falls ich falsch liege.

Gespeichert.

Das hört man oft, aber bei uns war es nie so. Lösungen, die im kleinen Maßstab funktionieren, brechen bei Wachstum zusammen, das habe ich spät gelernt.

Maßnahmen ohne vorherige Bestandsaufnahme lassen die Türen offen, die man nicht sieht.

Ich schreibe das damit ihr denselben Fehler nicht macht... ehrlich gesagt dass das Backup im gleichen Netzwerk und mit derselben Identität erreichbar ist, macht es zum Teil des Ziels.

Das war's, entschuldige wenn ich zu lang war.