Sollen wir die Tools für Penetrationstests von Webanwendungen kaufen und selbst testen, oder es jemanden machen lassen?

Die größte Sackgasse automatisierter Tools sind Parametermanipulation und Prozesse, die Kontext erfordern. In einem mehrstufigen Zahlungsablauf kann ein Scanner nicht verstehen, einen Zwischenschritt zu überspringen und zum Ergebnis zu gelangen. Euer Code-Team soll den Scan laufen lassen, grundlegende Lücken wie SQL-Injection und Cross-Site-Scripting sollen bereinigt werden, aber für die Rechteprüfungen ist unbedingt menschliches Eingreifen nötig.

Letztes Jahr haben wir mit unserem 3-köpfigen Team dasselbe versucht. Wir haben einen populären Open-Source-Scanner laufen lassen, er hat uns genau 184 Sicherheitswarnungen vorgelegt. Unser Entwickler hat zwei Wochen damit verbracht und am Ende stellte sich heraus, dass 168 davon Fehlalarme waren. Das verschwendete Entwicklergehalt für zwei Wochen kostete uns ohnehin mehr als das Geld für den Test, das wir nach außen gegeben hätten.

Seid auch vorsichtig, wenn ihr externe Dienstleister beauftragt. Viele sogenannte Sicherheitsfirmen die behaupten, für 2.000-3.000 Dollar zu testen, lassen im Hintergrund denselben Open-Source-Scanner laufen, den ihr selbst aufsetzen würdet kleben die Ausgabe in ihre Vorlage mit eigenem Logo und liefern das als Bericht ab. Wenn ihr einen Dienst beauftragt, müsst ihr im Vertrag ausdrücklich festhalten lassen, dass manuelle Tests der Geschäftslogik enthalten sind.

Korrektur: Ich hatte die Zahl falsch im Kopf, sie war etwas niedriger.

Geht Schritt für Schritt vor: integriert zuerst Open-Source-Code-Analyse-Tools in eure Entwicklungspipeline. Das sorgt für Sauberkeit bei null Kosten. Dann sprecht offen mit dem Kunden und fragt, welchen minimalen Zertifizierungs- oder Akkreditierungsstandard sie akzeptieren würden. Manchmal halbiert es den Angebotspreis direkt wenn man den Umfang nur auf die äußere Web-Oberfläche beschränkt.

Ich möchte mal was fragen: Wenn wir eine gute Cloud-Firewall vor unsere Web-App setzen und den Traffic filtern würde das diesen ganzen Pentest-Bedarf dann nicht komplett überflüssig machen? also reicht das den Kunden nicht?

Die Firewall ist der Wachmann an der Tür, der Pentest ist der Ingenieur, der die architektonischen Mängel des Gebäudes prüft. Die Firewall blockiert bekannte Angriffsmuster, aber sie kennt die Design- und Berechtigungsfehler innerhalb der Anwendung selbst nicht. Eure Kunden wollen sehen, wie sicher der Code hinter der Mauer ist, deshalb ersetzt die Mauer keinen Bericht.

Wir hatten bei unserem ersten Unternehmensverkauf denselben Schock, als das Angebot von 6.000 Dollar kam haben uns die Hände gezittert. also wir haben dem Kunden ehrlich gesagt dass wir ein Frühphasen-Startup sind, den Umfang auf kritische Endpunkte eingegrenzt und uns mit einem unabhängigen freiberuflichen Sicherheitsexperten auf 2.500 Dollar geeinigt und den bestätigten Bericht bekommen. Ich sag euch, brecht die Kommunikation nicht ab.

euren eigenen bericht akzeptieren unternehmenseinkäufer leider definitiv nicht. halt der witz an so nem bericht ist ja gerade dass ne unabhängige stelle ihren stempel draufsetzt. nutzt die tools nur zur bereinigung, sag ich, sonst ist es zeitverschwendung.

Betrachtet man den Prozess ändert sich das Bild. Die Antwort hängt stark von der Branche ab, es gibt keine allgemeine Regel.

Wenn deine Situation anders ist, ändert sich das natürlich.

Da stimme ich zu. Entscheidend ist nicht die Zahl, sondern worauf sie sich bezieht.

Das ist meine Meinung, ich behaupte nicht dass es absolut richtig ist.

Wie habt ihr das Problem gelöst? also bei uns war der größte Zeitfresser die Unklarheit darüber wer entscheidet.

Wenn ihr das Ergebnis hier postet, hilft es auch anderen.

Ich fasse kurz zusammen, was bisher gesagt wurde. Nur weil alle es tun, heißt es nicht, dass es richtig ist.

Ich möchte kurz warnen. Die Zeit, die ihr braucht, um ein Problem zu erkennen, bestimmt direkt dessen Kosten.

Korrigiert mich, falls ich falsch liege.

Das habe ich auch erlebt.

Bei uns ist es genauso.

Bleibe dran. Ein automatisierter Scan-Report ist kein Penetrationstest.

Mich interessiert das auch. Wenn du zu einem Thema drei verschiedene Antworten bekommst, war die Frage falsch gestellt.

Viel Erfolg.

Ich bin ein kleines Unternehmen, ich erzähle es aus meiner Sicht. Wenn du das nicht von Anfang an schriftlich festhältst, gibt es später Streit.