Nos dieron una oferta de test de penetración estándar a precio fijo, ¿cuál es exactamente la diferencia con un test exhaustivo?

El verdadero peligro de los paquetes estándar es que se saltan las vulnerabilidades de control de autorización a nivel de objeto, lo que llamamos Broken Object Level Authorization. Las herramientas automáticas prueban las peticiones HTTP con parámetros aleatorios, pero no se les ocurre sacar el albarán de la empresa A con el token de la empresa B en un panel de logística. Esos controles tienen que hacerse manualmente.

Envíen por escrito estas tres preguntas a las dos empresas que ofertaron: 1) ¿Cuántas horas de trabajo manual de explotación se harán durante el test? 2) ¿Los endpoints de API y las interfaces móviles están incluidos en el alcance? 3) ¿Se ofrece un re-test de verificación gratuito tras cerrar los hallazgos detectados? Las respuestas aclaran la diferencia.

El año pasado en Yeda pagamos 14.000 SAR por un paquete estándar para un acuerdo similar. De las 18 páginas del informe que llegó, 15 eran información general y resultados de escaneo automático. El equipo de seguridad de la otra parte rechazó el informe por insuficiente y al final tuvimos que gastar 32.000 SAR más para hacernos un test exhaustivo.

¿No le pidieron la lista del alcance a la empresa que pasó el presupuesto barato? seguro meten un rango de IPs le dan al play a la herramienta y a los tres días les encajan un PDF exportado.. luego si el responsable de seguridad de su cliente entiende un mínimo del tema, ese informe se lo tiran para atrás en el acto.

los estandar suelen ser de chichinabo. si no pidieron codigo fuente ni docu de la api van a tirar un escaneo automatico y a correr en tres dias es imposible terminar un pentest manual.

Envíenle previamente el documento de definición de alcance (scoping document) al responsable de seguridad de la información de la otra parte. No le paguen a ninguna empresa sin tener confirmación por escrito de qué tipo de prueba van a aceptar.

¿Cómo se definió el alcance de la prueba de penetración en el contrato de confidencialidad y prestación de servicios con el cliente? ¿Piden caja negra o caja blanca? Además, ¿su sistema procesa pagos o almacena datos sensibles de clientes?

Con nuestro primer cliente B2B quisimos ahorrar y contratamos un paquete básico de pentest; nos alegramos porque el sistema salió limpio. Dos meses después, el contable del cliente descubrió que cambiando un parámetro en la URL podía descargarse las facturas de transporte de la competencia. Ese día entendimos que el test estándar es pura ilusión.

Le agradecería que compartiera el resultado. No tengáis miedo de preguntar, quien no pregunta siempre paga más caro.

Ningún proceso mejora si no se registran datos, porque no sabes qué tienes que arreglar. Yo seguiría por ese camino.

Tengo una pregunta, no quiero desviarme del tema, pero... Antes de decidir, mirad qué datos tenéis en la mano.

La respuesta varía mucho según el sector, no hay una regla general. Espero que le sea útil.

esstoy de acuerdo.

Ha sido una buena idea abrir este hilo.

Hay tres cosas que revisar al hacer esto. Si intentas cambiarlo todo a la vez, nada termina de asentarse.

Lo dejo como nota, por si sirve.

Correcto. Empezad con una pequeña prueba no lo integréis todo de golpe.

Ánimo.

Hace dos años viví exactamente lo mismo. Una copia de seguridad no probada no es una copia de seguridad.

Lo importante no es la cifra, sino en qué se basa esa cifra.

Quisiera hacer una pregunta. Tomar notas durante dos semanas da mejores resultados que estimar seis meses.

Lo dejo como nota por si sirve.

Estoy siguiendo esto.

¿Podría ampliar un poco esto? Si la verificación en dos pasos está activa, una contraseña robada no sirve de nada por sí sola.

Si tenéis dudas, escribid, os responderé en la medida de lo posible.