Metodi di analisi delle vulnerabilità: cosa basta a una piccola azienda prima del primo penetration test?

Gli scanner automatici intercettano SQL Injection o porte aperte, ma non sanno dirti se "l'utente A può vedere la fattura dell'utente B". In un software di logistica B2B il rischio maggiore è la violazione dei permessi in multi-tenancy. E questo si capisce solo con un test manuale.

Cosa c'è scritto esattamente nel questionario di sicurezza inviato dal vostro cliente? A volte chiedono solo "si eseguono vulnerability scan periodici?", altre volte specificano chiaramente un requisito standard come un "Penetrationstest nach BSI" certificato da terze parti. Non spendete budget prima di aver chiarito il capitolato.

Noi con un team di 12 persone per il primo audit abbiamo pagato 3.200 EUR per un test ibrido dell'applicazione web di 2 giorni. Abbiamo sistemato in 1 settimana le 2 falle critiche emerse, abbiamo ottenuto il report di verifica (re-test) e il cliente ha approvato la procedura. 9.000 EUR per iniziare sono decisamente troppi.

Riducete il perimetro (Scope). Non date all'agenzia tutta la vostra infrastruttura cloud, ma solo l'applicazione web e gli endpoint API verso cui il cliente invia i dati. Riducendo lo scope, il costo in giornate/uomo e l'importo del preventivo si dimezzano.

spendere 2.500 eur solo x avere l'output di una scansione automatica sono soldi buttati. prendono due pagine sputate da un tool open source, le impaginano carine e te le spacciano per report..... l'auditor del cliente corporate se ne accorge subito e ve lo boccia

Non fatevi condizionare dalle agenzie che dicono "la revisione dell'architettura è obbligatoria". È ovvio che vogliano vendere il pacchetto più completo. Però un audit completo dell'architettura sul codebase di un'azienda di 10 persone richiede settimane e blocca lo sviluppo vero e proprio del prodotto.

Verificate assolutamente che nel preventivo sia compreso il servizio di "Re-test". Una volta chiuse le vulnerabilità critiche segnalate, è indispensabile che la società di audit fornisca un executive summary finale in cui tali problemi risultino contrassegnati come risolti.

Riassumo l'argomento, perché sono state date diverse risposte. Ogni punto non scritto è un punto che in futuro le due parti ricorderanno diversamente.

Confermato dall'esperienza.

Non trascurare nulla: Se permessi e ambito non sono scritti, quel test non deve iniziare.

Questa è la mia opinione non la scrivo come verità assoluta.

C'è una trappola qui, non posso non segnalarla. Più è difficile tornare indietro su una decisione, più lentamente dovreste prenderla.

Prendere appunti per due settimane dà risultati migliori rispetto a una stima di sei mesi. Spero che le sia utile.

Riassumo l'argomento, perché sono state date diverse risposte. Un backup non testato non è un backup.

Anche da noi è così. Inizia con un piccolo test, non impegnarti subito su tutto.

Le decisioni affrettate diventano decisioni da correggere sei mesi dopo. Naturalmente cambia se la vostra situazione è diversa.

Salvato. Se non lo rendete scritto fin dall'inizio, poi nascono discussioni.

È tutto, scusate se mi sono dilungato.

Salvato.

la mia domanda sarà un po' da principiante scusate. se ricevete tre risposte diverse su un argomento la domandda è posta male.

sono curioso di sapere se qualcuno lo fa in modo diverso.

C'è una cosa a cui prestare attenzione. Un backup non testato non è un backup.

Se avete domande, scrivete, rispondo per quanto possibile.

Ho vissuto la stessa cosa.

Grazie mille, proverò oggi.