¿Cómo se hace un pentest? Quiero entender el proceso paso a paso antes de pedir presupuesto

Huye de los que te digan que lo terminan en dos días. Seguramente van a pasar un software de escaneo automático, le van a pegar su logo al PDF que salga y te lo van a entregar. Un pentesting serio de caja gris para las API y paneles de un equipo de 14 personas lleva al menos de 5 a 7 días hábiles.

Ed: ya se preguntó abajo, dejé la respuesta en el segundo mensaje.

En la fase de preparación debéis pedir al equipo de auditoría sus IP fijas. Tenéis que meter esas IP en la lista blanca de vuestro firewall y del WAF de la aplicación web. De lo contrario, el firewall bloqueará su IP en el primer minuto y perderéis el tiempo para nada.

Al comparar presupuestos, haga a las empresas estas tres preguntas por escrito: 1) ¿Qué certificaciones del sector tiene el personal de prueba y realizarán ellos directamente los ensayos? 2) ¿El método de prueba está diseñado según estándares internacionales? 3) Una vez corregidas las vulnerabilidades, ¿tenemos derecho a una prueba de verificación gratuita?

El año pasado contratamos un servicio similar para 2 aplicaciones web y 1 aplicación móvil. Pagamos 65.000 TL y la prueba duró 8 días hábiles. Se encontraron 12 vulnerabilidades en total, 3 de ellas relacionadas con escalada de privilegios. Nuestros desarrolladores las corrigieron en 10 días, luego se hizo una prueba de reevaluación de 2 días y se cerró el informe.

la primera vez q lo hicimos lo probaron en la bd de producción y se mezclaron casi todos los registros. no dejéis nunca q usen la bd de producción para el test o haced una copia idéntica y q lo prueben en un entorno de staging si no os vais a arrepentir.

¿Su cliente le pide el informe de prueba completo o solo la página de resumen ejecutivo? Entregar al cliente el informe técnico con el detalle de todos los hallazgos es un riesgo desde el punto de vista de la política de seguridad; pida también el formato de resumen ejecutivo al solicitar presupuestos.

Asegúrese de incluir en el contrato los horarios de prueba y la persona de contacto para emergencias. Debe haber una línea de coordinación para poder detener la prueba al instante con una sola llamada en caso de un bloqueo inesperado o una sobrecarga en el sistema.

si no me equivoco, quieres decir esto: Lo que más tiempo nos hacía perder era no saber quién tomaba las decisiones.

espero que le sea útil.

Llevé mucho tiempo con este asunto. Si la verificación en dos pasos está activa, una contraseña robada no sirve de nada por sí sola.

Comprobado por experiencia.

Lo que voy a preguntar sonará un poco novato, perdonadme. Que todo el mundo haga algo no significa que sea lo correcto.

Corrijanme si me equivoco.

Lo escribo para que no cometan el mismo error. La gente no defiende el proceso, defiende la costumbre. La resistencia viene de ahí.

Todo lo que no está por escrito, ambas partes lo recordarán de forma distinta en el futuro. Si escribís el resultado aquí, también servirá de ayuda a otros.

Me quedé tranquilo al leer esta respuesta, así que no solo me pasa a mí. Los primeros tres meses todo va bien, los problemas aparecen en el cuarto.

Los primeros tres meses todo va bien, los problemas aparecen en el cuarto. Si escribís el resultado aquí, también servirá de ayuda a otros.

Soy una pequeña empresa, os lo cuento desde mi lado. Si el permiso y el alcance no están por escrito, que no empiece la prueba.

Esta es mi opinión, no lo escribo como una verdad absoluta.

Voy a contar mi experiencia. El tiempo que tardas en detectar un problema determina directamente su coste.

Si escribís el resultado aquí, también servirá de ayuda a otros.

estoy de acuerdo a medias en parte no... si regañas las falsas alarmas nadie volverá a reportar.

esta es mi opinión, no lo escrio como una verdad absoluta.

El punto que más se pasa por alto sobre pasos proceso prueba de penetracion es este: Lo importante no es la cifra, sino en qué se basa esa cifra.

Intentar hacerlo solo es la vía más cara. Ánimo.

entrando en detalle: El error cometido por pasos proceso prueba de penetracion suele ser reversible pero caro.

si regañas las falsas alarmas, nadie volverá a reportar.. y comprboado por experiencia.

a nosotros nos pasó esto. los cambios en los datos de pago nunca se verifican por el msimo canal por el que llegan.

espero que le sea útil.