¿Compramos herramientas de pruebas de penetración web y las probamos nosotros o contratamos a alguien?

El mayor dilema de las herramientas automáticas es la manipulación de parámetros y los procesos que requieren contexto. En un flujo de pago de varios pasos, el escáner no entiende si te saltas un paso intermedio para llegar al final. Que tu equipo ejecute el escaneo para limpiar cosas básicas como SQL injection o XSS, pero para los controles de permisos sí o sí se necesita intervención humana.

El año pasado intentamos lo mismo con nuestro equipo de 3 personas. Corrimos un escáner open source muy conocido y nos arrojó 184 alertas de seguridad. El dev perdió dos semanas revisando para que al final 168 fueran falsos alarmas. Esas dos semanas de sueldo tiradas a la basura nos salieron más caras que haber pagado la prueba externa desde el principio.

Tengan cuidado también al contratar servicios externos. En el mercado hay muchas supuestas empresas de seguridad que dicen hacer pruebas por 2.000-3.000 dólares y lo único que hacen es ejecutar en segundo plano el mismo escáner de código abierto que podrías instalar tú, pegar los resultados en una plantilla con su logo y entregártelo como informe. Si van a contratar a alguien, asegúrense de dejar bien claro en el contrato que se incluyan pruebas manuales de lógica de negocio.

Corrección: recordaba mal la cifra, era un poco más baja.

Vayan paso a paso: primero integren herramientas de análisis de código abierto en su pipeline de desarrollo. Eso permite limpiar el código a coste cero. Después, hablen abiertamente con el cliente y pregúntenle qué estándar mínimo de certificación o acreditación exigen. A veces, limitar el alcance solo a la superficie web externa reduce el presupuesto directamente a la mitad.

Una pregunta si ponemos un buen firewall en la nube delante de nuestra aplicación web y filtramos el tráfico ¿eso no elimina del todo la necesidad de este tipo de pruebas de penetración? o sea ¿Los clientes no ven eso suficiente?

El firewall es el guardia de seguridad de la puerta; la prueba de penetración es el ingeniero que inspecciona los fallos arquitectónicos del edificio. El firewall bloquea patrones de ataque conocidos, pero no puede detectar errores de diseño y autorización dentro de la propia aplicación. Como sus clientes quieren ver qué tan seguro es el código que hay detrás del muro, el firewall no sustituye al informe.

A nosotros nos pasó exactamente lo mismo en nuestra primera venta corporativa casi nos da un ataque cuando nos llegaron con un presupuesto de 6.000 dólares. Le dijimos con total sinceridad al cliente que éramos una startup en fase inicial, redujimos el alcance a los endpoints más críticos y cerramos con un experto en seguridad freelance independiente por 2.500 dólares para conseguir el informe firmado. Mi consejo es que no corten la comunicación.

los compradores corporativos nunca van a aceptar un informe hecho por ustedes mismos lamentablemente. la gracia de ese informe es justamente que tenga el sello de una entidad independiente. les diria q usen las herramientas solo para limpiar el codigo si no van a perder el tiempo.

Si lo ves como un proceso, el panorama cambia. La respuesta varía mucho según el sector no hay una regla general.

Por supuesto, cambia si tu situación es diferente.

Estoy de acuerdo. Lo importante no es la cifra, sino en qué se basa esa cifra.

Esta es mi opinión no lo escribo como una verdad absoluta.

¿Y cómo resolvieron esto? Lo que más tiempo nos hacía perder era no saber quién tomaba las decisiones.

Si escribís el resultado aquí también servirá de ayuda a otros.

Permíteme resumir lo que se ha dicho hasta ahora. Que todo el mundo haga algo no significa que sea lo correcto.

Dejo una advertencia. El tiempo que tardas en detectar un problema determina directamente su coste.

Corrijanme si me equivoco.

Me pasó lo mismo.

A nosotros también nos pasa.

Estoy siguiendo esto. Un informe de escaneo automático no es lo mismo que una prueba de penetración.

Yo también tengo curiosidad. Si obtienes tres respuestas distintas sobre un tema la pregunta está mal formulada.

Ánimo.

Soy una pequeña empresa, os lo cuento desde mi lado. Si no lo pones por escrito desde el principio, luego surgen discusiones.