El contratista de software sugiere análisis estático de código en vez de prueba de penetración, ¿reemplaza al pentest?

El análisis estático solo mira el texto del código que escribiste. Un puerto mal configurado en tu servidor, un software de servidor web no actualizado o un permiso de acceso abierto al exterior en una base de datos en la nube no están dentro del código. Esas vulnerabilidades solo se atrapan con un pentest cuando la aplicación está corriendo en un entorno real.

Cometimos el mismo error en nuestra infraestructura de e-commerce en Kazán. El contratista nos dio el informe de análisis estático y se lo presentamos al cliente. El equipo de auditoría del cliente descubrió acceso sin contraseña al panel de administración en las primeras dos horas. El proyecto se retrasó dos meses y encima tuvimos que contratar a las apuradas un equipo externo de pentest por 400.000 rublos.

¿Qué dice exactamente el texto de las especificaciones técnicas del contrato con tu cliente? Si menciona directamente "prueba de penetración" o "auditoría de seguridad independiente", cuando les lleves un informe de análisis estático, el área legal o de auditoría lo va a rechazar al instante. ¿Revisaste la definición exacta en el contrato?

Los puntos clave que diferencian ambos métodos son: 1) El análisis estático se hace mediante escaneo de texto sin ejecutar el código, el pentest se aplica dinámicamente sobre el sistema en vivo. 2) Las herramientas estáticas no entienden fallas de lógica de negocio, el especialista en pentest ataca el sistema con la mente humana. 3) Las auditorías de clientes solo toman como prueba oficial el informe de pentest independiente.

La propuesta del contratista no me pareció muy honesta. Suben el código a un escáner de código abierto o estándar del mercado y te sacan un informe automático en pocas horas. Pedir 120.000 rublos por un informe empaquetado que consiguen apretando un solo botón es un exceso.

Ed: ya se preguntó abajo, dejé la respuesta en el segundo mensaje.

Envíale un correo directamente al responsable técnico de tu cliente. Pregúntale por escrito si aceptan el informe de análisis estático de código fuente. Hay un noventa por ciento de probabilidades de que te digan que el pentest es obligatorio. Así te evitas tirarle 120.000 rublos al contratista para nada.

Los desarrolladores suelen evitar las pruebas de penetración independientes porque viene otro equipo técnico y le reporta al jefe con pruebas en mano, el trabajo que hicieron y los descuidos en la configuración del servidor. o sea para mí que no les preocupa el presupuesto sino que queden al descubierto sus propias fallas.

en nuestro proyecto tmb se hizo escaneo estatico y salieron paginas de advertencias inútiles pero no vio la falla de permisos real. un cliente corporativo ni en pedo te lo acepta no tiren la plata al pedo.

Hablaré desde el otro lado yo estoy en el lado del proveedor. Los primeros tres meses todo va bien los problemas aparecen en el cuarto.

Lo que voy a preguntar sonará un poco novato, perdonadme. Un informe de escaneo automático no es lo mismo que una prueba de penetración.

Los primeros tres meses todo va bien, los problemas aparecen en el cuarto. Ánimo.

La discusión se ha dispersado, voy a ordenarla. No tengáis miedo de preguntar, quien no pregunta siempre paga más caro.

Después de vivir eso, mi perspectiva cambió. Los primeros tres meses todo va bien, los problemas aparecen en el cuarto.

Un informe de escaneo automático no es lo mismo que una prueba de penetración. Esta es mi opinión, no lo escribo como una verdad absoluta.

Voy a contar mi experiencia. Ningún proceso mejora si no se registran datos, porque no sabes qué tienes que arreglar.

Eso es todo, disculpa si me he extendido demasiado.

Me han quedado claras las dudas, gracias. Lo importante no es la cifra, sino en qué se basa esa cifra.

Ánimo.

Yo no me apresuraría. Lo importante no es la cifra, sino en qué se basa esa cifra.

Intentar hacerlo solo es la vía más cara. Lo dejo como nota, por si sirve.

Estoy de acuerdo. Si el permiso y el alcance no están por escrito, que no empiece la prueba.

El error cometido por análisis estático de código suele ser reversible, pero caro. Por supuesto, cambia si tu situación es diferente.

Estoy de acuerdo a medias, en parte no. Antes de decidir, mirad qué datos tenéis en la mano.

Que todo el mundo haga algo no significa que sea lo correcto. Yo seguiría por ese camino.

Estoy de acuerdo... Antes de decidir, mirad qué datos tenéis en la mano.

Eso es todo, disculpa si me he extendido demasiado.