Pentest hat 40 Schwachstellen ergeben — brauchen wir ein Tool fürs Remediation Tracking?

Lehnt das Angebot direkt ab. Lasst euch von der Zahl 40 nicht verrückt machen. Geht zuerst nur an Critical und High ran – damit habt ihr mit einer Woche Dev-Aufwand 80 % des realen Risikos erschlagen. Die restlichen Lows packt ihr einfach nach und nach als kleine Tasks in die nächsten Sprints und fertig.

Wir hatten letztes Jahr in einem 20-Personen-Team einen Bericht mit 38 Findings. Der Dienstleister wollte uns genau denselben SaaS-Kram andrehen, haben wir nicht gemacht. Einfach ein Tag im Ticketsystem angelegt, nach 45 Tagen waren 34 Punkte erledigt und die restlichen 4 Lows als accepted risk dokumentiert. Audit ohne einen Cent Extrakosten bestanden.

Dass die Firma, die den Test durchgeführt hat, direkt danach ein Tool für 6.000 Dollar empfiehlt, ist ein klassischer Upsell-Move. Wahrscheinlich sind sie Partner oder Reseller dieser Software und kassieren Provision pro Verkauf. Dass ein 14-Mann-Unternehmen für so ein Tool Budget einplant, wäre reine Ressourcenverschwendung.

Das technische Detail, auf das ihr beim Übertragen in euer bestehendes System achten müsst, ist folgendes: Sagt den Entwicklern nicht einfach nur "schließ die X-Schwachstelle". Fügt den Schwachstellen-Score aus dem Bericht, die betroffene URL oder Bibliotheksversion und die Exploit-Schritte in die Ticket-Beschreibung ein. Sonst sagt der Entwickler, er hat's geschlossen, aber hat nur den Parameternamen geändert und die Lücke bleibt offen.

Gibt es in eurem Testvertrag eine "Re-Test"-Klausel, also einen erneuten Test? Falls ja, wie lang ist die Frist? In den meisten Verträgen gibt es eine kostenlose Verifizierungsfrist von 30 oder 60 Tagen für Korrekturen. Wenn ja, könnt ihr die Bestätigungsarbeit die das Tool machen würde, im Rahmen des Vertrags vom Berater erledigen lassen.

wir haben das mit ner einfachen e-tabelle gelöst. in die spalten haben wir schwachstellenname schweregrad zugewiesener entwickler und status geschrieben. einmal pro woche 15 minuten meeting gemacht und den fortschritt besprochen in zwei monaten war alles durch. braucht man überhaupt nicht das ganze geld.

Weder eure Kunden noch Regulierungen verpflichten euch, ein Schwachstellen-Tracking-Tool zu verwenden. Das Einzige, worauf Prüfer schauen, ist, dass die gefundenen Lücken mit einem dokumentierten Prozess geschlossen und Belege geführt werden, dass die Behebung technisch verifiziert wurde. Euer bestehender Ticket-Verlauf erfüllt diese Anforderung mehr als genug.

Die allgemeine Meinung ist ziemlich klar: 1) Kauft das 6.000-Dollar-Tool nicht, 2) Erstellt in eurem bestehenden Projekt-Tracking-Tool Aufgaben mit dem Sicherheits-Label, 3) Prüft euer kostenloses Re-Test-Recht im Vertrag und nutzt es für die Verifizierung. Zusätzliche Software erhöht nur euren Arbeitsaufwand.

Lasst uns die Begriffe trennen, sie werden oft verwechselt. Vergessene Testumgebungen sind häufiger das Einfallstor als das Live-System.

Wenn deine Situation anders ist ändert sich das natürlich.

Ja, die Situation bei Remediation-Tracking-Tools ist genau so. Ein automatisierter Scan-Report ist kein Penetrationstest.

Ich würde mich freuen, wenn du das Ergebnis postest. Kein Prozess ohne Dokumentation verbessert sich, weil man nicht weiß, was man verbessern soll.

Korrigiert mich, falls ich falsch liege.

Ich möchte kurz warnen. Ein automatisierter Scan-Report ist kein Penetrationstest.

Beginnt mit einem kleinen Test, bindet nicht gleich alles fest. Nur als Notiz, könnte nützlich sein.

So klar geschriebene Texte sind selten. Der meiste Zeitverlust entsteht durch Arbeiten, die auf Freigaben warten.

Ich fasse das Thema mal zusammen, da es mehrere unterschiedliche Antworten gab. Überstürzte Entscheidungen sind oft solche, die man sechs Monate später korrigieren muss.

Nur weil alle es tun, heißt es nicht, dass es richtig ist. Korrigiert mich, falls ich falsch liege.

Gut gemacht. Wenn du das nicht von Anfang an schriftlich festhältst, gibt es später Streit.

Wenn ihr das Ergebnis hier postet, hilft es auch anderen.

Die Diskussion ist abgeschweift, ich fasse mal zusammen. Lösungen, die im kleinen Maßstab funktionieren, brechen bei Wachstum zusammen, das habe ich spät gelernt.

Wenn du zu einem Thema drei verschiedene Antworten bekommst, war die Frage falsch gestellt. Wenn es jemand anders macht, würde mich das auch interessieren.

Ich hätte eine Frage, möchte aber nicht vom Thema abschweifen. Jeder nicht schriftlich festgehaltene Punkt ist einer, an den sich beide Parteien später unterschiedlich erinnern.

Entscheidend ist nicht die Zahl, sondern worauf sie sich bezieht. Schreibt mir, wenn ihr Fragen habt, ich antworte so gut ich kann.

Bei mir war es genau umgekehrt deshalb schreibe ich das. Wenn du zu einem Thema drei verschiedene Antworten bekommst, war die Frage falsch gestellt.

An deiner Stelle würde ich so vorgehen.