Methoden der Schwachstellenanalyse: Was reicht für eine kleine Firma vor dem ersten Penetrationstest?

Automatische Scanner erwischen SQL Injection oder offene Ports, aber sie können die Frage 'Kann Nutzer A die Rechnung von Nutzer B sehen?' nicht beantworten. Das größte Risiko in B2B-Logistiksoftware ist die Multi-Tenancy-Rechteausweitung. Und das versteht man nur durch manuelles Testen.

Was genau steht im Sicherheitsfragebogen den euer Kunde geschickt hat? Manchmal heißt es nur 'Wird regelmäßig ein Schwachstellenscan durchgeführt', manchmal fordern sie ausdrücklich einen von Dritten bestätigten 'Penetrationstest nach BSI' oder eine ähnliche Standardbestätigung. Gebt kein Budget aus, bevor ihr die Ausschreibung geklärt habt.

Wir haben mit unserem 12-köpfigen Team beim ersten Audit 3.200 EUR bezahlt und einen 2-tägigen hybriden Webanwendungstest bekommen. Die 2 hochgradigen Lücken aus dem Bericht haben wir in 1 Woche geschlossen und einen Verifizierungsbericht (Re-Test) erhalten, und der Kunde hat den Prozess abgesegnet. 9.000 EUR sind für den Anfang definitiv zu viel.

Verkleinert den Scope. Gebt der Agentur nicht eure gesamte Cloud-Infrastruktur, sondern nur die Webanwendung und die API-Endpunkte, an die der Kunde Daten sendet. Wenn der Scope kleiner wird, halbieren sich Tageskosten und Angebotssumme.

Wenn ihr 2.500 eur bezahlt und nur einen automatischen Scan-Output bekommt, ist euer Geld zum Fenster rausgeworfen. die schmücken den Output von zwei Open-Source-Tools auf und schicken das als Bericht der Auditor des Unternehmenskunden merkt das sofort und schickt es zurück.

Lasst euch nicht davon irritieren, wenn Agenturen sagen 'Architekturprüfung ist Pflicht'. Natürlich wollen sie das umfangreichste Paket verkaufen. Aber eine vollständige Architekturprüfung für die Codebasis einer 10-köpfigen Firma dauert Wochen und blockiert eure eigentliche Produktentwicklung.

Bestätigt unbedingt, ob in dem Angebot, das ihr bekommt, die 'Re-Test'-Leistung (erneuter Test) enthalten ist. Nachdem die kritischen Lücken aus dem Bericht geschlossen wurden, muss die Auditfirma einen abschließenden Management-Summary-Bericht vorlegen, in dem diese Lücken als geschlossen markiert sind.

Ich fasse das Thema mal zusammen, da es mehrere unterschiedliche Antworten gab. Jeder nicht schriftlich festgehaltene Punkt ist einer, an den sich beide Parteien später unterschiedlich erinnern.

Aus Erfahrung weiß ich das.

Nichts vergessen: Wenn Genehmigung und Umfang nicht schriftlich vorliegen, darf der Test nicht starten.

Das ist meine Meinung, ich behaupte nicht, dass es absolut richtig ist.

Hier lauert eine Falle, die ich nicht unerwähnt lassen möchte. Je schwerer es ist, eine Entscheidung rückgängig zu machen, desto langsamer solltet ihr sie treffen.

Zwei Wochen Notizen machen liefert bessere Ergebnisse als eine sechsmonatige Schätzung. Ich hoffe, das hilft dir weiter.

Ich fasse das Thema mal zusammen, da es mehrere unterschiedliche Antworten gab. Ein nicht getestetes Backup ist kein Backup.

Bei uns ist es genauso. Beginnt mit einem kleinen Test, bindet nicht gleich alles fest.

Überstürzte Entscheidungen sind oft solche, die man sechs Monate später korrigieren muss. Wenn deine Situation anders ist, ändert sich das natürlich.

Gespeichert. Wenn du das nicht von Anfang an schriftlich festhältst, gibt es später Streit.

Das war's, entschuldige wenn ich zu lang war.

Gespeichert.

meine Frage klingt vielleicht etwas naiv entschuldigt bitte. halt wenn du zu einem Thema drei verschiedene Antworten bekommst war die Frage falsch gestellt.

wenn es jemand anders macht würde mich das auch interessieren.

Hier ist etwas zu beachten. Ein nicht getestetes Backup ist kein Backup.

Schreibt mir, wenn ihr Fragen habt, ich antworte so gut ich kann.

Das habe ich auch erlebt.

Vielen Dank, ich werde es heute testen.