Outils de pentest d'application web : le faire nous-mêmes ou faire appel à un prestataire ?

Le gros point faible des outils automatiques, c'est la manipulation de paramètres et les processus dépendants du contexte. Sauter une étape dans un tunnel de paiement pour forcer la validation, un scanner ne le verra jamais. Lancez vos scans pour nettoyer le basique comme les injections SQL et le XSS, mais pour la gestion des droits, il faut impérativement une intervention humaine.

On a testé ça l'an dernier avec notre équipe de 3 devs. On a fait tourner un scanner open source très connu : il nous a sorti 184 alertes de sécurité. Notre dev y a passé deux semaines complètes pour se rendre compte que 168 étaient des faux positifs. Les deux semaines de salaire perdues nous ont coûté plus cher que le devis du prestataire externe.

Faites attention aussi si vous sous-traitez. Sur le marché, plein de soi-disant boîtes de sécu qui vous facturent 2 000-3 000 dollars se contentent de lancer en arrière-plan le même scanner open source que vous pourriez installer vous-même, puis collent le résultat dans un template avec leur logo et vous le vendent comme un rapport. Si vous prenez un prestataire, exigez noir sur blanc dans le contrat que des tests manuels de logique métier soient inclus.

Correction : je me suis trompé sur le chiffre, c'était un peu plus bas.

Allez-y étape par étape : intégrez d'abord des outils d'analyse de code open source dans votre pipeline de dev. Ça permet de faire un premier nettoyage à coût zéro. Ensuite, discutez-en franchement avec le client pour connaître la norme d'accréditation ou de certification minimale qu'il accepte. Parfois, limiter le périmètre à la seule surface web externe divise direct le prix du devis par deux.

J'ai une question : si on met un bon pare-feu cloud devant notre appli web pour filtrer le trafic, est-ce que ça n'élimine pas totalement le besoin de faire ce genre de test d'intrusion ? du coup les clients ne trouvent pas ça suffisant ?

Le pare-feu, c'est l'agent de sécurité à l'entrée ; le test d'intrusion, c'est l'ingénieur qui vient vérifier les failles architecturales du bâtiment. Le pare-feu bloque les schémas d'attaque connus, mais il ne peut pas détecter les failles d'autorisation ou de conception internes à l'application. Vos clients veulent voir si le code derrière le pare-feu est sécurisé, donc un pare-feu ne remplacera jamais un rapport d'audit.

On a eu exactement le même choc lors de notre première vente grand compte, quand le devis à 6 000 dollars est tombé on a pris froid. On a expliqué honnêtement au client qu'on était une startup en phase de démarrage, on a réduit le périmètre aux endpoints critiques et on s'est arrangés avec un expert en sécu freelance pour 2 500 dollars pour avoir le rapport validé. Un conseil : gardez le dialogue ouvert.

votre propre rapport les acheteurs des grands comptes ne le valideront jamais malheureusement. tout l'interet de ce rapport c'est justement qu'il soit tamponne par un tiers independant. utilisez ces outils juste pour faire le menage sinon vous allez perdre votre temps.

En regardant le processus le tableau change. La réponse varie beaucoup selon le secteur, il n'y a pas de règle générale.

Bien sûr, cela change si votre situation est différente.

Je suis d'accord. Le vrai problème n'est pas le chiffre mais la base sur laquelle il est calculé.

C'est mon avis, je ne l'écris pas comme une vérité absolue.

Comment avez-vous résolu ce point ? du coup ce qui nous faisait perdre le plus de temps c'était l'absence de clarté sur qui prenait les décisions.

Si vous écrivez le résultat ici cela aidera aussi d'autres personnes.

Je vais résumer ce qui a été dit jusqu'ici. Ce que tout le monde fait ne signifie pas que c'est la bonne chose.

Je me permets une petite mise en garde. Le temps que vous mettez à détecter un problème détermine directement son coût.

Corrigez-moi si je me trompe.

J'ai vécu la même chose.

Chez nous aussi.

Je suis intéressé. Un rapport de scan automatique n'est pas la même chose qu'un test d'intrusion.

Je me pose aussi la question. Si vous obtenez trois réponses différentes sur un sujet, la question est mal posée.

Bon courage.

Je suis une petite entreprise, laissez-moi expliquer de mon point de vue. Si vous ne formalisez pas cela par écrit dès le départ, des disputes éclateront plus tard.