Ci propongono un'analisi delle vulnerabilità con tool automatici: sostituisce un penetration test o è tutt'altra cosa?

I tool di scansione guardano gli status code HTTP e le firme CVE note. Nessun tool automatico troverà mai falle nella logica applicativa, come un utente che imposta l'importo del carrello in negativo sul vostro portale B2B per confermare l'ordine. Ecco perché il test manuale è fondamentale.

Leggete alla lettera la richiesta del cliente. Dice 'Penetration testing' o 'Vulnerability assessment'? Se il cliente è strutturato, il giorno in cui gli presentate un report di scansione automatica vi rimandano indietro il contratto chiedendo il pentest e i 1.400 EUR saranno buttati.

Prima di decidere seguite questi step: 1) Chiedete al team compliance del cliente un esempio del formato di report che ritengono accettabile. 2) Completate internamente gli aggiornamenti di sistema operativo e librerie sul server. 3) Destinate il budget rimanente a un test manuale mirato, focalizzato solo sugli endpoint critici delle API.

L'anno scorso abbiamo commesso lo stesso errore con un cliente di Madrid. Abbiamo speso 1.100 EUR per un report automatico. Il team di audit lo ha respinto dopo due giorni dicendo 'questo è solo l'output di un tool, non ci sono prove di exploit'. Abbiamo dovuto sborsare altri 3.000 EUR per far fare il test manuale.

Quello che la società di consulenza vi offre a 1.400 EUR con ogni probabilità consiste solo nell'inserire il vostro dominio su un software commerciale e premere 'avvia'. Vi consegneranno un PDF di 40 pagine pieno di grafici colorati. Prima di spendere quei soldi, potete farvi una scansione simile da soli con tool open source.

Gestite infrastrutture di pagamento o dati personali sensibili sul portale? Inoltre, a quale normativa specifica è soggetto il vostro cliente? In Spagna alcuni appalti pubblici richiedono direttamente un report di pentest accreditato per lo standard ENS.

I due concetti vengono spesso confusi, non preoccupatevi. La scansione automatica è come un esame del sangue mostra il quadro generale. Il penetration test è il chirurgo che interviene e trova il vero problema. Se dovete rassicurare il cliente serve il chirurgo.

secondo me chiedete direttamente al cliente se vogliono il report di un penetration test o se gli basta una scansione vulnerabilità. insomma evitate di spendere subito 3500 euro se alla fine gli serve solo una scansione per formalità.

Ti seguo.

Argomento molto attuale.

Sono d'accordo, anzi vorrei sottolinearlo. Inizia con un piccolo test, non impegnarti subito su tutto.

Inizia con un piccolo test, non impegnarti subito su tutto. Se avete domande, scrivete, rispondo per quanto possibile.

Salvato.

Ha ragione.

Sono nella stessa situazione, per questo chiedo. Gran parte del tempo perso si accumula nelle pratiche in attesa di approvazione.

Lascio una nota, potrebbe servire.

Scusate ma questo non vale in ogni caso. Inizia con un piccolo test non impegnarti subito su tutto.

Se la verifica in due passaggi è attiva, una password rubata da sola non serve a nulla.

Esatto, e non è nemmeno così noto. Le soluzioni che funzionano su piccola scala crollano quando si cresce, l'ho imparato tardi.

Correggetemi se sbaglio.

Sono d'accordo.

Corretto.