Sicherheitsaudit vor der Zahlung — gibt es eine Website-Sicherheitsliste, die wir selbst umsetzen können?

Öffnet die Entwicklerkonsole eures Browsers und schaut euch den Sicherheits-Tab an, und lasst eure Seite mit kostenlosen Header-Analyse-Tools scannen. Die fehlenden Sicherheitsheader aus dem Bericht in eure Serverkonfiguration einzufügen dauert nur 30 Minuten und eliminiert die Hälfte des Berichts von vornherein.

Der Penetrationstest-Bericht, für den wir letztes Jahr 3.200 Pfund bezahlt haben, enthielt 11 Befunde. 7 davon waren fehlende Header auf dem Server und offenes Verzeichnis-Listing. Hätten wir diese Kontrollen vorab gemacht, hätten wir die Audit-Firma dazu zwingen können, die Logikfehler im eigentlichen Zahlungsablauf der Anwendung zu finden.

Passt unbedingt die Fehlerseiten an. Wenn euer Server oder eure Software einen 500-Fehler ausgibt und auf dem Bildschirm ein Stack Trace oder die Datenbankversion ausgegeben wird, gebt ihr dem Angreifer eine Landkarte. Deaktiviert in der Produktionsumgebung alle Fehlerdetails und zeigt nur einen allgemeinen Fehlercode an.

Fügt eurer Checkliste auch Folgendes hinzu: 1) Dass CSRF-Token in den Buchungsformularen aktiv sind. 2) Dass in der robots.txt keine versteckten Panels oder Backup-Verzeichnisse offengelegt werden. 3) Das Scannen des Servers nach vergessenen sensiblen Konfigurationsdateien wie .zip, .sql oder .env.

Mit eurer eigenen Liste stellt ihr grundlegende Hygiene sicher, aber haltet das nicht für einen Ersatz für professionelles Testen. Geschäftslogik-Lücken (zum Beispiel Rechteüberschreitung, indem man die Buchungs-ID eines anderen ändert und dessen Eintrag sieht) tauchen in keiner automatischen Liste auf. Macht eure Liste, aber legt das Audit nicht komplett auf Eis.

ich würde sagen checkt auch euer backupsystem... sicherheit ist nicht nur der moment des angriffs; könnt ihr wenn was schiefgeht, auf die sauberen daten von vor 1 stunde zurückgreifen und liegt dieses backup auf einem anderen isolierten server, das ist mega kritisch.

Da ihr in Großbritannien tätig seid, bringt der Schutz der Nutzerdaten direkt rechtliche Verantwortung mit sich. Wenn ihr die grundlegenden Kontrollen, die ihr durchführt, in einen internen Sicherheitsbericht fasst und datiert, belegt das bei einer möglichen Datensicherheitsprüfung den guten Willen und den proaktiven Ansatz eures Unternehmens.

Keine Angst, ihr könnt diese Kontrollen an einem Tag abschließen. Korrigiert zumindest die grundlegenden Konfigurationen und geht dann so zur Firma; wenn ihr sagt 'wir haben die grundlegenden Kontrollen gemacht, wir wollen von euch nur eine tiefgehende Geschäftslogik-Analyse', können sie sogar den Angebotspreis senken.

Ich bin derselben Meinung. Jeder nicht schriftlich festgehaltene Punkt ist einer, an den sich beide Parteien später unterschiedlich erinnern.

Korrigiert mich, falls ich falsch liege.

bleibe dran. übrigens lösungen die im kleinen Maßstab funktionieren brecen bei Wachstum zusammen, das habe ich spät gelernt.

zwei Wochen Notiezn machen liefert bessere Ergebnisse als eine sechsmonatige Schätzung. übrigens wenn ihr das Ergebnis hier postet, hilft es auch anderen.

Hier ist etwas zu beachten. Wenn ihr es zum ersten Mal macht fangt klein an, die Skalierung kommt später.

Das allein zu versuchen ist der teuerste Weg. Viel Erfolg.

Die obige Antwort bringt es auf den Punkt. Das allein zu versuchen, ist der teuerste Weg.

Wenn der Benachrichtigungsweg lang ist, kommen keine Benachrichtigungen; keine Benachrichtigung bedeutet spät erkannte Vorfälle. An deiner Stelle würde ich so vorgehen.

Dieses Thema ist archiviert.

nichts vergessen: Die Zeit, die ihr braucht um ein Problem zu erkennen, bestimmt direkt dessen Kosten.

wenn deine Situation andres ist ändert sich das natürlich.

Ich hätte eine Frage, möchte aber nicht vom Thema abschweifen. Schreibe bei Entscheidungen auch das Worst-Case-Szenario auf, nicht nur das Beste.

Korrigiert mich, falls ich falsch liege.

letztes Jahr haben wir fast genau dasselbe erlebt.. dann ehrlich gesagt sichherheit ist nicht absolut; es bedeutet den Angriff so aufwendig zu machen dass er sich nicht lohnt.

wenn es jemand anders macht, würde mich das auch interessieren.

Ich probiere es aus.

Es gab drei verschiedene Ansichten die sich alle ergänzen. Wenn Genehmigung und Umfang nicht schriftlich vorliegen, darf der Test nicht starten.

Wenn ihr das Ergebnis hier postet hilft es auch anderen.