Pentest-Report fordert Behebung binnen 30 Tagen — was bedeutet Schwachstellenmanagement für uns?

Schaut vor allem auf den CVSS-Score. Alles ab 7.0 ist High oder Critical. Meistens sind das veraltete Libraries mit bekannten Exploits oder Probleme bei der Authentifizierung. Eure Devs sollten sofort Dependencies aktualisieren und Validierungsfilter für Inputs einbauen.

Hatten genau denselben Fall. 12 Findings, davon 4 als High eingestuft. Unsere Entwickler haben zwei Wochen lang alle Features liegengelassen und nur Lücken gefixt. Die 3 Server-Sachen waren über Cloud-Firewall-Regeln in 2 Tagen erledigt. 5 Tage später war der Nachtest durch und wir hatten den sauberen Bericht.

Dass der Kunde pauschal 30 Tage für alles fordert, ist reine Bürokratie. Low-Findings wie Versionsanzeigen oder fehlende Sicherheits-Header stellen meist kein echtes Risiko dar. Fokussiert euch auf die Dinge, über die wirklich Daten abfließen könnten.

Setzen Sie sich direkt mit dem Pentest-Dienstleister in Verbindung und prüfen Sie, ob Ihr Vertrag einen Nachtest beinhaltet. Falls ja, tragen Sie sich die Frist für die Behebung und den Anstoß des Nachtests ganz klar in den Kalender ein.

Die grundlegenden Schritte zur Schwachstellenbehebung: 1) Teilen Sie die Findings in Code- und Server-/Netzwerk-Schwachstellen auf, 2) Priorisieren Sie alles ab einem CVSS-Score von 7, 3) Lassen Sie Ihre Entwickler für jede behobene Sicherheitslücke im Code ein passendes Testszenario durchlaufen, 4) Fordern Sie nach Abschluss der Korrekturen ein offizielles Bestätigungsschreiben (Attestation Letter) vom Pentest-Dienstleister an.

wenn man zum ersten Mal so einen dicken Bericht vor sich hat gerät man schnell in Panki das ist völlig normal. die Hälfte davon sind ohnehin nur Screenshots und allgemeine Erklärungen aber naja wenn man sich das Ganze in Ruhe anschaut merkt man meist dass es sich um Logikfehler handelt die Ihre Entwickler in 1-2 Wochen behoben haben.

serverseitig ist das meistens reine konfigurationssache aber logikfehler im code können zeit fressen. also traut euch rhig direkt beim pentest-anbieter nachzuhaken die müssen euch das finding im detail erklären können.

Kurz gesagt: Den Code fixt euer Team, die Servereinstellungen macht ihr über das Cloud-Panel. Binnen 30 Tagen schließt ihr die Highs, dokumentiert die Workarounds und lasst am Ende dieselbe Security-Firma noch mal drübertesten, damit ihr dem Kunden einen sauberen Bestätigungsbericht vorlegen könnt.

Korrektur: Ich hatte die Zahl falsch im Kopf, sie war etwas niedriger.

Ich möchte kurz warnen. Wenn ihr es zum ersten Mal macht, fangt klein an, die Skalierung kommt später.

An deiner Stelle würde ich so vorgehen.

Das hört man oft, aber bei uns war es nie so. Wenn wir ohne Messung entscheiden, landen wir immer wieder am selben Punkt.

An deiner Stelle würde ich so vorgehen.

wenn du so vorgehst kläre das vorher. überstürzte Entscheidungen sind oft solche, die man sechs Monate später korrrigieren muss.

an deiner Stelle wüde ich so vorgehen.

Ich schreibe mal meine Erfahrung auf. Entscheidend ist nicht die Zahl sondern worauf sie sich bezieht.

Wenn deine Situation anders ist ändert sich das natürlich.

Ich bin in derselben Situation deshalb frage ich. Lösungen die im kleinen Maßstab funktionieren, brechen bei Wachstum zusammen, das habe ich spät gelernt.

Nur weil alle es tun, heißt es nicht, dass es richtig ist. An deiner Stelle würde ich so vorgehen.

Wenn wir ins Detail gehen: Beginnt mit einem kleinen Test, bindet nicht gleich alles fest.

ich habe keinerlei Erfahrung mit Schwachstellenbehebung deshalb frage ich und halt beginnt mit einem kleinen Test bindet nicht gleich alles fest.

schreibt mir, wenn ihr Fragen habt, ich antworte so gut ich kann.

Genau so, und das ist zudem kaum bekannt. Wenn die Zwei-Faktor-Authentifizierung aktiv ist, reicht ein gestohlenes Passwort allein nicht aus.

Das war's, entschuldige, wenn ich zu lang war.

Bleibe dran.

Die Diskussion ist abgeschweift, ich fasse mal zusammen. Lösungen, die im kleinen Maßstab funktionieren, brechen bei Wachstum zusammen, das habe ich spät gelernt.

Korrigiert mich, falls ich falsch liege.