Come si definisce l'ambito dell'autorizzazione scritta per un penetration test e cosa deve contenere il documento?

Inserite assolutamente nel documento una clausola di notifica degli IP sorgente. Deve essere messo nero su bianco da quali indirizzi IP pubblici statici il team effettuerà le scansioni. In questo modo potrete distinguere il test da un vero attacco informatico sul vostro web application firewall e filtrare facilmente le attività di test qualora dobbiate svolgere analisi forensi sui log.

Le clausole penali e gli obblighi di riservatezza nel contratto devono essere regolati in conformità agli articoli sui reati informatici del Codice Penale Turco e alla normativa KVKK. Nel caso in cui durante il test si acceda a dati dei clienti o a record finanziari sensibili, il protocollo di notifica immediata e cancellazione sicura da applicare deve essere definito in modo giuridicamente vincolante.

Non aprite mai direttamente il database di produzione al test. Preparate un ambiente di staging che sia la copia esatta della produzione, anonimizzate i dati sensibili dei clienti e fate eseguire il test lì. Alle banche interessano le falle nell'architettura e nel codice; non ha alcun senso mettere a rischio la tabella dei clienti in ambiente live.

Anche se preparate un documento di perimetro preciso, molte agenzie sul mercato si limitano a lanciare tool automatici di vulnerability scanning e se ne vanno. Se non mettete una clausola nel contratto del tipo "la frequenza delle richieste degli scanner automatici non può superare tot richieste al secondo", il vostro API gateway si blocca e i clienti iniziano a beccarsi errori.

L'anno scorso abbiamo autorizzato un test simile per la fascia oraria 02:00-05:00 di notte. L'esperto che eseguiva il test ha accidentalmente sovraccaricato la coda di produzione invece di quella di staging e il nostro server di messaggistica è andato giù per 40 minuti. Per fortuna avevamo la clausola di stop d'emergenza e in 3 minuti abbiamo bloccato tutto. Senza quella clausola non saremmo mai riusciti a ripartire per l'inizio del turno della mattina.

edit: ho corretto alcuni errori di battitura.

Che tipo di test sarà, black box o white box? Se al team verranno forniti il codice sorgente o la documentazione delle API, le clausole sulla protezione della proprietà intellettuale e sulla distruzione del codice al termine del test diventano ancora più cruciali.

Non permettete nemmeno un singolo ping a una porta senza autorizzazione scritta: il reato di accesso non autorizzato può trascinare entrambe le parti direttamente davanti alla procura.

Avete ragione, sono passato anch'io per la stessa strada. Il vero problema non è il numero, ma su cosa si basa quel numero.

Correggetemi se sbaglio.

Ci proverò. Quando prendi una decisione, guarda prima quali dati hai a disposizione.

Ogni punto non scritto è un punto che in futuro le due parti ricorderanno diversamente.

ha ragione ma comunque se la verifica in due passaggi è attiva, una password rubata da sola non serve a nulla.

avere il backup accessibile sulla stessa rete e con le stesse credenziali lo rende parte del bersaglio e se scrivete qui il risultato, sarà utile anche ad altri.

Sono emerse tre opinioni diverse, si completano a vicenda. Il vero problema non è il numero ma su cosa si basa quel numero.

Se scrivete qui il risultato sarà utile anche ad altri.

Hai fatto bene ad aprire questo thread.

Sono d'accordo.

Riassumo quanto detto finora. La risposta varia molto in base al settore, non esiste una regola generale.

Se è la prima volta, inizia in piccolo, il ridimensionamento viene dopo. Sono curioso di sapere se qualcuno lo fa in modo diverso.

Preso nota, grazie. Se ricevete tre risposte diverse su un argomento, la domanda è posta male.

Il vero problema non è il numero, ma su cosa si basa quel numero.

Grazie per averlo scritto, è proprio così. Prendere misure senza fare un inventario lascia aperta una porta che non vedi.

Questa è la mia opinione, non la scrivo come verità assoluta.

non lo sapevo poi il vero problema non è il numero ma su cosa si basa quel numero.

Direi di non avere fretta. boh chiunque abbia fretta su autorizzazione scritta penetration test si blocca nello stesso punto.

Se avete domande, scrivete rispondo per quanto possibile.