Il fornitore software propone l'analisi statica del codice invece del penetration test: può sostituire un pentest?

L'analisi statica controlla solo il testo del codice. Una porta mal configurata sul server, un web server non aggiornato o un database cloud con permessi pubblici non si vedono nel codice sorgente. Queste vulnerabilità emergono solo con un pentest sull'applicazione in esecuzione nell'ambiente reale.

Abbiamo fatto lo stesso errore con la nostra piattaforma e-commerce a Kazan. Il fornitore ci ha rilasciato l'analisi statica e noi l'abbiamo girata al cliente. Il team di audit del cliente ha trovato un accesso senza password al pannello admin nelle prime due ore. Risultato: progetto slittato di due mesi e altri 400.000 rubli spesi in fretta e furia per un team di pentesting esterno.

Cosa c'è scritto di preciso nel capitolato tecnico del contratto con il vostro cliente? Se viene indicata esplicitamente la dicitura «penetration test» o «audit di sicurezza indipendente», nel momento in cui presentate un'analisi statica l'ufficio legale o gli auditor ve la bocciano all'istante. Avete verificato la clausola esatta?

I punti chiave che distinguono i due metodi sono: 1) L'analisi statica scansiona il testo senza eseguire il codice, il pentest viene eseguito dinamicamente sul sistema attivo. 2) I tool statici non comprendono la logica di business, il penetration tester attacca usando l'ingegno umano. 3) Gli audit dei clienti accettano unicamente il report di un pentest indipendente come prova ufficiale.

La proposta del fornitore non mi convince per niente. L'analisi statica la fanno caricando il codice su uno scanner open source o commerciale e tirando fuori un report automatico in un paio d'ore. Chiedere 120.000 rubli per un report prefabbricato ottenuto premendo un solo pulsante è un furto.

PS: è stato chiesto qui sotto, ho scritto la risposta nel secondo messaggio.

Manda direttamente un'email al referente tecnico del tuo cliente. Chiedi per iscritto se un report di analisi statica del codice sorgente sia accettabile o meno. Al novanta per cento ti diranno che il pentest è obbligatorio. Così eviti di buttare via 120.000 rubli con l'appaltatore per niente.

Gli sviluppatori di solito evitano i penetration test indipendenti perché arriva un altro team tecnico che documenta e segnala al capo il loro lavoro e le disattenzioni nella configurazione del server. Secondo me non pensano al budget ma al fatto che vengano a galla le loro falle.

pure nel nostro progetto e stata fatta la scansione statica son venute fuori pagine di avvisi inutili ma la falla principale sui permessi nn l'ha vista e il cliente aziendale non l'accetta di sicuro nn buttate via i soldi x niente.

Parlo dal lato opposto io sono dalla parte dei fornitori... I primi tre mesi vanno bene, i problemi emergono al quarto mese.

La mia domanda sarà un po' da principiante, scusate. Un report di scansione automatica e un penetration test non sono la stessa cosa.

I primi tre mesi vanno bene, i problemi emergono al quarto mese. Buon lavoro.

La discussione si è dispersa, la riassumo. Non abbiate paura di chiedere chi non chiede paga sempre di più.

Dopo aver vissuto questa cosa, il mio punto di vista è cambiato. I primi tre mesi vanno bene, i problemi emergono al quarto mese.

Un report di scansione automatica e un penetration test non sono la stessa cosa. Questa è la mia opinione, non la scrivo come verità assoluta.

Racconto la mia esperienza. Nessun processo migliora senza tracciamento, perché non sai cosa correggere.

È tutto, scusate se mi sono dilungato.

Il mio dubbio è stato chiarito, grazie. Il vero problema non è il numero, ma su cosa si basa quel numero.

Buon lavoro.

Direi di non avere fretta. Il vero problema non è il numero, ma su cosa si basa quel numero.

Cercare di farlo da soli è la strada più costosa. Lascio una nota, potrebbe servire.

Sono d'accordo. Se permessi e ambito non sono scritti, quel test non deve iniziare.

L'errore commesso da analisi statica del codice è generalmente reversibile ma costoso. Naturalmente cambia se la vostra situazione è diversa.

Sono d'accordo in parte, in parte no. Quando prendi una decisione, guarda prima quali dati hai a disposizione.

Il fatto che tutti facciano una cosa non significa che sia quella giusta. Io seguirei questa strada.

Sono d'accordo. Quando prendi una decisione guarda prima quali dati hai a disposizione.

È tutto, scusate se mi sono dilungato.