¿Escaneo de vulnerabilidades y prueba de penetración son lo mismo? ¿Cuál es suficiente para nosotros?

Los escáneres automáticos generan demasiados falsos positivos. O sea, pueden reportar como fallo crítico algo que en realidad no genera riesgo en tu sistema. O al revés, ignorar por completo procesos complejos como saltarse una verificación en dos pasos. La diferencia de precio es la mano de obra especializada que lleva.

Si aceptás el escaneo de 12.000 TL, te van a mandar un reporte en bruto de 80 páginas en inglés sacado directamente de un software comercial. Para entender y filtrar lo que dice ese reporte vas a tener que pagarle de vuelta horas a un programador.

Nosotros caímos en ese error hace dos años pedimos el reporte de escaneo xq era barato... Saltaron 15 vulnerabilidades con alarma roja, lo revisó nuestro programador y resultó q 12 eran avisos de puertos cerrados. en fin entramos en pánico al pedo y tiramos la plata.

Para entender la diferencia mirá estos dos puntos clave: 1) El escaneo de vulnerabilidades se hace en horas con herramientas automáticas y solo detecta. 2) El pentest lleva días, intenta vulnerar el fallo detectado para acceder a la base de datos y genera evidencias.

El mes pasado le hicimos un pentest a nuestro sitio. En la página de perfil de usuario, donde el escaneo automático no encontró nada, hallaron un fallo de autorización q permitía ver los datos de dirección y pedidos de otro usuario. Eso un escáner no lo encontraba ni en pedo.

Obvio q podés pagar 12.000 TL y comprarte un tilde verde pa quedarte tranquilo. Vas a dormir en paz, pero el día q te filtren datos de tarjetas de crédito no le vas a poder explicar nada a tus clientes mostrándoles ese reporte de escaneo.

En resumen; si tenés un presupuesto muy ajustado, un escaneo es mejor que nada, pero no te resuelve la seguridad del código propio. Si hacés e-commerce, el pentest de 55.000 TL no es un gasto, es literalmente un costo de seguro.

Exacto, y encima no es tan conocido. Empezad con una pequeña prueba, no lo integréis todo de golpe.

Corrijanme si me equivoco.

Lo que se dice aquí es exactamente lo que nos pasó. La mayor parte de la pérdida de tiempo se acumula en los trabajos pendientes de aprobación.

La mayoría de los incidentes no empiezan por una vulnerabilidad, sino por una contraseña filtrada. Esta es mi opinión, no lo escribo como una verdad absoluta.

Estoy de acuerdo.

Entrando en detalle: Antes de decidir mirad qué datos tenéis en la mano.

Yo seguiría por ese camino.

quisiera hacer una pregunta. la respuesta varía mucho según el sector no hay una reglla general.

yo seguiría por ese camino.

Separemos los conceptos se están confundiendo. Todo lo que no está por escrito, ambas partes lo recordarán de forma distinta en el futuro.

También me gustaría saber si alguien lo hace de otra manera.

Han surgido tres opiniones distintas, todas se complementan. No confíes en una sola medida; ve capa por capa.

No tengáis miedo de preguntar, quien no pregunta siempre paga más caro. Comprobado por experiencia.

Me han quedado claras las dudas, gracias. Si el permiso y el alcance no están por escrito, que no empiece la prueba.

Si escribís el resultado aquí, también servirá de ayuda a otros.

Es correcto en general, pero falta un detalle. Intentar hacerlo solo es la vía más cara.

No tengo ninguna experiencia en significado de escaneo de vulnerabilidades, por eso pregunto. Ningún proceso mejora si no se registran datos, porque no sabes qué tienes que arreglar.

También me gustaría saber si alguien lo hace de otra manera.

Rara vez se encuentra un texto que lo explique tan claro.