¿Compramos herramientas de prueba de penetración y lo probamos nosotros mismos, o es un error?

Separa el proceso en dos: 1) El escaneo de vulnerabilidades es automático, se buscan fallos conocidos con herramientas. 2) El pentest es probar con inteligencia humana si realmente se puede acceder a los datos explotando ese fallo. Tu cliente quiere lo segundo, con una herramienta solo vas a lograr lo primero.

Ojo al escanear por tu cuenta con herramientas automáticas: le meten datos sin control a los formularios web. Si lo lanzas en producción te van a entrar cientos de registros basura a la BD, y si tienes integración con pagos o SMS te pueden hacer miles de llamadas seguidas y fundirte los créditos de la API en minutos. Ni se te ocurra probarlo en el servidor en vivo.

Hace dos años cometimos un error parecido. Le mandamos a un cliente bancario el informe de una herramienta que compramos. Su equipo de seguridad nos restregó de inmediato que 14 alertas críticas eran falsos positivos y que, en cambio, un fallo básico de control de acceso ni aparecía. El daño a la reputación salió muchísimo más caro que haber ahorrado 4.000 GBP.

¿Estás seguro de que la empresa que te cobra 5.500 GBP va a probar a mano de verdad? Muchas agencias corren exactamente esas herramientas comerciales vuelcan los logs en una plantilla y te facturan diciendo que hicieron un pentest. Pregúntales sí o sí el alcance, la metodología y cuántas horas de análisis manual incluye el informe.

Las cláusulas de seguridad en contratos corporativos suelen exigir pruebas realizadas por auditores con acreditación independiente. Un informe interno hecho por tu propio personal no te exime de responsabilidad legal si hay una brecha de datos, y encima te pueden demandar por incumplimiento de contrato.

Revisa el cuestionario de seguridad del cliente. Si pone claramente pentest independiente de terceros no pierdas el tiempo con tu propia herramienta. Al negociar con la agencia limita el nº de IPs y dominios del alcance para intentar bajar el precio a unos 4.000 GBP.

No le quites la ilusión a tu desarrollador pero posiciona la herramienta como una red de seguridad en fase de desarrollo. Si escaneas internamente y cierras las vulnerabilidades básicas antes del pentest independiente, el informe de la agencia saldrá limpio y le darás un documento con mucho más peso a tu cliente.

edit: escrito desde el móvil, perdonad las erratas.

guardado.

No puedo estar totalmente de acuerdo. Una copia de seguridad no probada no es una copia de seguridad.

Lo importante no es la cifra, sino en qué se basa esa cifra. Espero que le sea útil.

No sabía eso. La gente no defiende el proceso defiende la costumbre... La resistencia viene de ahí.

Ánimo.

estoy totalmente de acuerdo y ningún proeso mejora si no se registran datos porque no sabes qué tienes que arreglar.

espero que le sea útil.

La respuesta de arriba ha dado en el clavo. Empezad con una pequeña prueba, no lo integréis todo de golpe.

Comprobado por experiencia.

El año pasado nos pasó casi exactamente lo mismo. Si la verificación en dos pasos está activa, una contraseña robada no sirve de nada por sí sola.

Si intentas cambiarlo todo a la vez, nada termina de asentarse. Comprobado por experiencia.

Dejo una advertencia. Intentar hacerlo solo es la vía más cara.

Un informe de escaneo automático no es lo mismo que una prueba de penetración. Por supuesto, cambia si tu situación es diferente.

Estoy siguiendo esto.

El año pasado nos pasó casi exactamente lo mismo. Los entornos de prueba olvidados son una puerta de entrada más frecuente que el sistema en producción.

Esta es mi opinión, no lo escribo como una verdad absoluta.

Yo también tengo curiosidad.