¿En cuántos días debería llegar el informe de un pentest? ¿Qué debo ver en un informe de ejemplo?

En el informe de ejemplo, fíjate sobre todo en la sección "PoC", es decir, Proof of Concept. En un pentest real, el experto, tras encontrar la vulnerabilidad, está obligado a demostrar con capturas de pantalla que puede extraer datos sin autorización o ejecutar comandos. No pierdas el tiempo con empresas que no hayan limpiado del informe las falsas alarmas (false positive) que generan los escáneres automáticos.

Haz que se incluyan sí o sí estas cláusulas en el contrato de servicio: 1) En cuanto se detecten hallazgos de nivel crítico y alto, se hará una notificación intermedia por correo electrónico en un plazo de 24 horas, 2) El informe borrador se enviará como máximo en 5 días laborables tras el fin de las pruebas, 3) Tras cerrar los hallazgos, se realizará una única prueba de verificación (re-test) gratuita en un plazo de 30 días.

El mes pasado terminamos nuestro test de móvil y API. El trabajo de campo acabó el viernes por la noche y el martes por la mañana ya teníamos el informe borrador. Había 4 vulnerabilidades críticas; nuestro equipo de desarrollo las cerró en 10 días y la empresa hizo la prueba de verificación al día siguiente y entregó el informe final limpio. Esperar 15 días laborables un informe te bloquea todo el calendario de correcciones.

A la empresa que dice 15 días laborables ponle la condición de "informe intermedio diario para hallazgos críticos". Si no lo aceptan descártalos directamente. Porque si durante el pentest aparecen vulnerabilidades como inyección de base de datos o ejecución remota de código esperar dos semanas sin cerrar esa vulnerabilidad es un suicidio comercial.

Algunos de los que entregan el informe en 3 días tampoco lo escriben mientras dura el test; le dan al botón de "exportar a PDF" de la herramienta de escaneo automático y le ponen tu logo en la portada. Además de que el plazo sea corto, confirma con el informe de ejemplo si está escrito a mano e incluye análisis específicos para tu equipo.

yo ni me sentaría a la mesa con una empresa q no da un informe de ejemplo. pues no se firma un contrato sin saber q va a salir ahí dentro. las empresas serias ya tienen los ejemplos censurados listos pidiendo permiso al cliente.

Presta también mucha atención al plazo de la "prueba de verificación" (re-test) en el contrato. Cerrar las vulnerabilidades te llevará tiempo después de recibir el informe. Que la empresa se comprometa a auditar de nuevo los sistemas gratis durante al menos 30 o 45 días tras la entrega del informe es muy valioso para la salud del proyecto.

si el test dura 5 días y dan el informe en 15, seguramente el ingeniero que hizo el test está ocupado infiltrándose en el servidor de otro cliente en vez de escribir el informe. si tienes una vulnerabilidad crítica, para cuando tú te enteres dos semanas después los bots de escaneo de internet ya la habrán descubierto hace tiempo.

Totalmente. Si tuviera que añadir algo más: Lo que más tiempo nos hacía perder era no saber quién tomaba las decisiones.

Las soluciones que funcionan a pequeña escala se rompen al crecer, aprendí esto tarde. Lo dejo como nota, por si sirve.

Perdona, pero esto no es válido en todos los casos. Que la copia de seguridad sea accesible en la misma red y con la misma identidad la convierte en parte del objetivo.

Aquí tengo una objeción. Antes de decidir, mirad qué datos tenéis en la mano.

Antes de decidir, mirad qué datos tenéis en la mano. También me gustaría saber si alguien lo hace de otra manera.

Tomo nota, gracias.

Tema muy oportuno. Cuanto más difícil sea revertir una decisión, más despacio debéis tomarla.

Si tenéis dudas escribid, os responderé en la medida de lo posible.

Quisiera hacer una pregunta. La gente no defiende el proceso, defiende la costumbre. La resistencia viene de ahí.

Esta es mi opinión, no lo escribo como una verdad absoluta.

tiene razón. cuanto más difícil sea revertir una decisión, más despacio debéis tomarla.

quisiera hacer una pregunta pero si el caminno de la notificación es largo, la notificación no llega; una notificación que no llega significa un incidente detectado tarde.

no confíes en una sola medida; ve capa por capa pero si tenéis dudas escribid os responderé en la medida de lo posible.

Muchas gracias, lo probaré hoy. Si no lo pones por escrito desde el principio, luego surgen discusiones.

Un informe de escaneo automático no es lo mismo que una prueba de penetración. Ánimo.

Buen trabajo.