Agentur empfiehlt Web-Pentest: Was ist der Unterschied zum Standard-Penetrationstest und braucht man das für eine kleine Seite?

Beim Netzwerktest sucht man nach offenen SSH-Ports oder veralteten Linux-Kerneln. Beim Web-Pentest prüft man den Code auf SQL-Injections, Cross-Site-Scripting und Fehler beim Session-Management. Wenn euer Portal auf Eigenentwicklungen basiert, findet man logische Programmierfehler ausschließlich über einen Web-Pentest.

Wir haben letztes Jahr 190.000 RUB für einen Web-Pentest unseres B2B-Systems bezahlt. Auf Serverebene war alles sauber, aber beim Webtest kam eine kritische Schwachstelle ans Licht, durch die Kunden gegenseitig ihre Kontoauszüge einsehen konnten. Gemessen am drohenden Reputationsschaden war das Geld absolut gut angelegt.

Werden bei euch auf der Seite Zahlungskartendaten gespeichert oder laufen die Bestellungen rein auf Rechnung über das Kundenkonto? Und basiert das Händlerportal auf einem Standard-CMS oder wurde es individuell programmiert? Diese Details entscheiden maßgeblich darüber, ob der Test wirklich notwendig ist.

Bevor ihr das Angebot annehmt lasst euch die Testmethodik schriftlich geben. Fragt nach nach welchen Standards der Bericht erstellt wird. Wenn die nur einen automatisierten Scanner drüberlaufen lassen und den Bericht ausdrucken, sind 240.000 RUB rausgeschmissenes Geld; wenn sie manuelle Logiktests machen lohnt sich das Gespräch.

Viele Sicherheitsfirmen auf dem Markt lassen ein automatisches Sicherheitsscan-Tool zwei Stunden laufen und verkaufen den 50-seitigen PDF-Output als Pentest. Wenn im Angebot nicht ausdrücklich ein Punkt 'manueller Business-Logik-Test' steht zahlt dieses Geld auf keinen Fall.

die agentur hat leider recht, netzwerktest ist was anderes als web pentest. wenn händler sonderpreise sehen und einer dem anderen den preis klaut, kann das böse enden. grenzt den umfang ein und bittet um rabatt, aber lasst den test nicht komplett schleifen.

In B2B-Datenbanken befinden sich Kundenvereinbarungen, die als Geschäftsgeheimnis gelten. Vor der Inanspruchnahme eines Web-Pentest-Dienstes ist es für Ihre rechtliche Sicherheit unerlässlich, einen umfassenden Vertraulichkeitsvertrag zu unterzeichnen und protokollarisch festzuhalten, dass der Test außerhalb der Betriebszeiten durchgeführt wird.

Mich interessiert das auch.

Vielen Dank, das hat mir sehr geholfen.

Letztes Jahr haben wir fast genau dasselbe erlebt. Wenn man Fehlalarme anschreit, meldet sich danach niemand mehr.

Wenn deine Situation anders ist, ändert sich das natürlich.

ich schreibe kurz, wie das in der Praxis gemacht wird.. und halt nur weil alle es tun, heißt es nicht dass es richtig ist.

absolut.. dann wenn ich noch etwas hinzufügen darf: Entscheidend ist nicht die Zahl, sondern worauf sie sich bezieht.

wenn deine Situation anders ist, ändert sich das natürlich.

Die obige Antwort bringt es auf den Punkt. Maßnahmen ohne vorherige Bestandsaufnahme lassen die Türen offen, die man nicht sieht.

Das war's, entschuldige, wenn ich zu lang war.

Ich fasse kurz zusammen was bisher gesagt wurde. also maßnahmen ohne vorherige Bestandsaufnahme lassen die Türen offen, die man nicht sieht.

Wenn deine Situation anders ist, ändert sich das natürlich.

Das wusste ich nicht.

Teilweise stimme ich zu, teilweise nicht. Wenn die Zwei-Faktor-Authentifizierung aktiv ist, reicht ein gestohlenes Passwort allein nicht aus.

Nur als Notiz, könnte nützlich sein.

Ich habe mich lange damit beschäftigt. Menschen verteidigen nicht den Prozess, sondern die Gewohnheit. Der Widerstand kommt daher.

Dass das Backup im gleichen Netzwerk und mit derselben Identität erreichbar ist, macht es zum Teil des Ziels. Aus Erfahrung weiß ich das.

Dieser Rat passt meiner Meinung nach nicht auf jeden. Wenn man Fehlalarme anschreit, meldet sich danach niemand mehr.

Wenn Genehmigung und Umfang nicht schriftlich vorliegen, darf der Test nicht starten. also korrigiert mich falls ich falsch liege.