Vamos a recibir nuestro primer informe de pentest, ¿qué debería incluir un buen informe y a qué debemos prestar atención?

Mirad la lógica de puntuación CVSS de cada vulnerabilidad en el informe. No basta con una simple etiqueta general de 'Crítica' o 'Media'. La cadena de vectores debe estar escrita claramente y deben incluirse cuerpos de petición o comandos PoC que demuestren que el hallazgo es realmente explotable. Si no están, vuestro desarrollador tendrá que actuar a ciegas al arreglar la falla.

Cuando el informe llegue a vuestra mesa, revisad estos tres puntos: 1) ¿Se han salido del alcance o se han escaneado todos los subdominios del contrato? 2) ¿Se puede reproducir la vulnerabilidad paso a paso en cada hallazgo? 3) ¿La propuesta de solución está escrita de forma adecuada para vuestro sistema operativo y las librerías que usáis?

edit: arriba escribí mal, disculpad.

En nuestro primer test en París, por el que pagamos 5.200 euros, salieron 48 hallazgos. Al revisarlos vimos que 22 eran simples banners de versiones insignificantes del servidor. Reclamamos y lo limpiamos, nos centramos en las 6 vulnerabilidades críticas restantes. Lo valioso no es el número de páginas del informe, sino el número de hallazgos críticos filtrados.

Cuando os entreguen el informe haced una reunión con vuestro desarrollador. Intentad activar vosotros mismos en el entorno de desarrollo las dos vulnerabilidades de mayor prioridad siguiendo los pasos descritos. Si el programador no puede reproducir el mismo error siguiendo las instrucciones el informe está incompleto; pedid una demostración en vivo al especialista que hizo la prueba.

nosotros en el primer informe nos panicamos al ver paginas llenas de avisos ssl y resulta q el navegador los metia en auto. la verdad el experto ni intento una sola api injection a mano. os digo q rechaceis directamente cualquier informe sin capturas ni payloads.

Nota: esto es mi experiencia, puede no aplicar a todos.

¿Al hacer el acuerdo definisteis el alcance como caja negra (black-box) o caja blanca (white-box)? Si le disteis al experto el código fuente o una cuenta de prueba, el informe debería documentar fallas de elevación de privilegios lógicas mucho más profundas. El tipo de alcance determina directamente vuestras expectativas sobre el informe.

La mayoría de las empresas guardan en un cajón el informe de pentest en cuanto lo reciben. Tan crítico como la calidad del informe es si tenéis derecho a una segunda revisión (re-test) tras las correcciones. Si la recomprobación no está incluida, ese informe pasa a ser solo un documento caro que muestra el pasado.

Me quedé tranquilo al leer esta respuesta, así que no solo me pasa a mí. Un informe de escaneo automático no es lo mismo que una prueba de penetración.

También me gustaría saber si alguien lo hace de otra manera.

Han surgido tres opiniones distintas, todas se complementan. Un informe de escaneo automático no es lo mismo que una prueba de penetración.

Espero que le sea útil.

Si vas por ahí, resuelve esto desde el principio. No tengáis miedo de preguntar, quien no pregunta siempre paga más caro.

Ánimo.

Este hilo es para archivar.

tomo nota gracias.

Tienes razón, yo también pasé por lo mismo. Que todo el mundo haga algo no significa que sea lo correcto.

Corrijanme si me equivoco.

¿Creen que esto funciona a cualquieer escala? si obtienes tres respuestas distintas sobre un tema la pregunta está mal formulada.

la respuesta varía mucho según el sector, no hay una regla general y ánimo.

Tiene razón.

Hay un error muy común al hacer esto. Si la verificación en dos pasos está activa, una contraseña robada no sirve de nada por sí sola.

Si el camino de la notificación es largo la notificación no llega; una notificación que no llega significa un incidente detectado tarde. Si tenéis dudas, escribid os responderé en la medida de lo posible.

Tema muy oportuno.

de acuerdo incluso me gustaría recalcarlo luego ningún proceso mejora si no se registran datos porqque no sabes qué tienes que arreglar.

la respuesta varía mucho según el sector, no hay una regla general y o sea esta es mi opinión no lo escribo como una verdad absoluta.