Nos sugieren análisis de vulnerabilidades automatizado: ¿sustituye al test de penetración o es otra cosa?

Las herramientas de escaneo miran códigos de estado HTTP y firmas CVE conocidas. Ninguna herramienta automática va a detectar un fallo de lógica de negocio, como que un usuario ponga el importe del carrito en negativo y confirme el pedido en tu portal B2B. Por eso el test manual es imprescindible.

Lee palabra por palabra el pliego de condiciones que te pide el cliente. ¿Pone 'penetration testing' o 'vulnerability assessment'? Si el cliente es una gran empresa el día que le entregues el informe del escaneo automático te devolverán el contrato pidiendo un pentest, y habrás tirado 1.400 EUR.

Antes de decidir, sigue estos pasos: 1) Pregunta al equipo de cumplimiento del cliente qué formato de informe aceptan de muestra. 2) Aplica las actualizaciones del sistema operativo y librerías de tu servidor con tu equipo interno. 3) Destina el presupuesto restante a un test manual enfocado únicamente a los endpoints críticos de la API.

El año pasado cometimos un error parecido con un cliente de Madrid. Pagamos 1.100 EUR y presentamos un informe de escaneo automático. El equipo de auditoría lo rechazó a los dos días diciendo 'esto es solo la salida de una herramienta, no hay evidencia de explotación'. Tuvimos que pagar 3.000 EUR más para hacer el test manual.

Lo que la consultora te ofrece por 1.400 EUR probablemente sea meter tu dominio en un software comercial de escaneo y darle al botón de 'empezar'. Te entregarán un PDF de 40 páginas con gráficos en color. Antes de gastarte ese dinero, puedes hacer un escaneo similar tú mismo con herramientas open source.

¿Manejas pasarela de pago o datos personales sensibles en el portal? ¿Y a qué normativa exacta está sujeto tu cliente? Algunas licitaciones públicas en España exigen directamente un informe de pentest acreditado por el esquema ENS.

Se suelen confundir mucho ambos conceptos, no te agobies. El escaneo automático es como un análisis de sangre, muestra el estado general. El pentest es la intervención del cirujano para dar con el problema real. Si quieres convencer al cliente necesitas al cirujano.

yo q tu le preguntaria directamente al cliente si esperan pentest o les vale con escaneo de vulnerabilidades pero no te gastes 3500 eur de primeras si solo quieren un papel de trámite.

Estoy siguiendo esto.

Tema muy oportuno.

De acuerdo, incluso me gustaría recalcarlo. Empezad con una pequeña prueba, no lo integréis todo de golpe.

Empezad con una pequeña prueba, no lo integréis todo de golpe. Si tenéis dudas, escribid, os responderé en la medida de lo posible.

Guardado.

Tiene razón.

Estoy en la misma situación, por eso pregunto. La mayor parte de la pérdida de tiempo se acumula en los trabajos pendientes de aprobación.

Lo dejo como nota, por si sirve.

Perdona, pero esto no es válido en todos los casos. Empezad con una pequeña prueba no lo integréis todo de golpe.

Si la verificación en dos pasos está activa, una contraseña robada no sirve de nada por sí sola.

Exacto, y encima no es tan conocido. Las soluciones que funcionan a pequeña escala se rompen al crecer, aprendí esto tarde.

Corrijanme si me equivoco.

Estoy de acuerdo.

Correcto.