Ein Angebot für Vulnerability Scan, eins für Penetrationstest – wo ist der Unterschied und was brauchen wir?

Stellt es euch so vor: Der Schwachstellenscan ist ein Roboter, der von außen mit dem Fernglas prüft, ob irgendwo Fenster aufstehen – und eine Spiegelung schnell mal für ein offenes Fenster hält. Der Penetrationstest ist ein professioneller Einbrecher, der ganz gezielt versucht, ins Gebäude reinzukommen. Enterprise-Kunden wollen immer den Bericht des Einbrechers sehen.

Den Fehler haben wir vor zwei Jahren auch gemacht. Wollten einen 50.000-USD-Deal closen und haben einen 1.200-USD-Scanbericht hingeschickt. Der Sicherheitschef des Kunden hat das Ding nach 10 Minuten zerrissen: „Das ist kein Pentest, das ist ein einfacher Scanner-Report.“ Der Prozess lag zwei Monate auf Eis. Am Ende mussten wir den vollen Test nachholen und 6.000 USD zahlen.

Schaut ganz genau in den Security Questionnaire eures Kunden. Wenn da „penetration test report performed by an independent third party“ steht könnt ihr das 1.500-USD-Angebot direkt vergessen. Mit einem reinen Scan macht ihr euch da nur lächerlich und verliert Zeit.

Die Bude für 1.500 USD lässt höchstwahrscheinlich einfach ein Standard-Open-Source-Tool über euren Server laufen und klebt ihr Logo aufs PDF. Sowas könnt ihr in zwei Stunden selbst machen, spart euch bloß das Geld.

Im Third-Party Risk Management gelten bei Konzernen extrem strikte Regeln. Da eure HR-Software sensible Mitarbeiterdaten verarbeitet, verlangen die Compliance-Teams als Nachweis eine Management Summary und einen Bereinigungsnachweis, wie sie ausschließlich ein manueller Pentest liefern kann.

verhandelt mit der 6.500-Dollar-Firma die gehen bestimmt auf etwa 5.500 runter aber aber nehmt definitiv den Penetrationstest, das andere wirkt vorm Kunden ttoal amateurhaft.

Ergänzung: Wurde unten schon gefragt, die Antwort habe ich im zweiten Beitrag geschrieben.

Wenn Sie mit der zweiten Firma verhandeln, lassen Sie unbedingt eine Re-Test-Klausel in den Vertrag aufnehmen. Nach Abschluss des Tests erhalten Sie eine Liste der Schwachstellen, die Sie dann beheben, um schließlich einen sauberen Abschlussbericht zu bekommen. Genau dieser saubere Bericht ist das Dokument, das Sie dem Kunden vorlegen müssen.

An diesem Punkt widerspreche ich dir. Je schwerer es ist, eine Entscheidung rückgängig zu machen desto langsamer solltet ihr sie treffen.

Nur als Notiz, könnte nützlich sein.

ich stimme zu.

Teilweise stimme ich zu, teilweise nicht. Je schwerer es ist, eine Entscheidung rückgängig zu machen, desto langsamer solltet ihr sie treffen.

Wenn deine Situation anders ist, ändert sich das natürlich.

Ich habe keinerlei Erfahrung mit Schwachstellenscan Penetrationstest, deshalb frage ich. Wer bei Schwachstellenscan Penetrationstest hetzt, stolpert alle an derselben Stelle.

An deiner Stelle würde ich so vorgehen.

Dieser Ansatz hat seinen Preis, der aber nicht thematisiert wird. Wenn die Zwei-Faktor-Authentifizierung aktiv ist, reicht ein gestohlenes Passwort allein nicht aus.

Zwei Wochen Notizen machen liefert bessere Ergebnisse als eine sechsmonatige Schätzung.

Kannst du das etwas genauer erklären? Entscheidend ist nicht die Zahl, sondern worauf sie sich bezieht.

Maßnahmen ohne vorherige Bestandsaufnahme lassen die Türen offen, die man nicht sieht. Korrigiert mich falls ich falsch liege.

Bei Schwachstellenscan Penetrationstest ist es meiner Meinung nach schwierig so eindeutig zu sprechen. Wenn wir ohne Messung entscheiden, landen wir immer wieder am selben Punkt.

Lösungen die im kleinen Maßstab funktionieren brechen bei Wachstum zusammen das habe ich spät gelernt. übrigens an deiner Stelle würde ich so vorgehen.

Danke, genau die Antwort, die ich gesucht habe. Die Zeit, die ihr braucht, um ein Problem zu erkennen, bestimmt direkt dessen Kosten.

Das war's, entschuldige, wenn ich zu lang war.

Danke fürs Schreiben.

Ich bin ein kleines Unternehmen ich erzähle es aus meiner Sicht. Dass das Backup im gleichen Netzwerk und mit derselben Identität erreichbar ist, macht es zum Teil des Ziels.

Viel Erfolg.

Ich stimme zu.