Come funziona un penetration test? Vorrei avere chiari tutti i passaggi prima di richiedere preventivi

State alla larga da chi vi dice di sbrigare tutto in due giorni. Molto probabilmente lanceranno uno scanner automatico in background e vi appiccicheranno il loro logo sul PDF generato. Per testare a fondo API e dashboard sviluppate da un team di 14 persone con approccio grey-box servono almeno 5-7 giorni lavorativi.

PS: è stato chiesto qui sotto, ho scritto la risposta nel secondo messaggio.

Durante la fase preparatoria ricordatevi di farvi comunicare gli IP statici da cui opererà il team di test. Dovrete inserirli subito in whitelist sia sul vostro firewall che sul web application firewall (WAF). Altrimenti i vostri sistemi di sicurezza bloccheranno gli IP dei tester dopo un minuto e perderete solo del gran tempo.

Quando confrontate i preventivi, fate queste tre domande per iscritto alle aziende: 1) Quali certificazioni di settore possiede il personale addetto ai test e saranno direttamente loro a eseguirli? 2) La metodologia di test è strutturata secondo gli standard internazionali? 3) Una volta risolte le vulnerabilità, abbiamo diritto a un re-test gratuito di verifica?

L'anno scorso abbiamo usufruito del servizio per una struttura simile con 2 applicazioni web e 1 app mobile. Abbiamo pagato 65.000 TL, il test è durato 8 giorni lavorativi. In totale sono state trovate 12 vulnerabilità, di cui 3 riguardanti il privilege escalation. I nostri sviluppatori hanno sistemato le falle in 10 giorni, poi in 2 giorni hanno fatto il test di verifica e chiuso il report.

la prima volta che l'abbiamo fatto fare hanno provato sul database di produzione e i record di test si sono praticamente incasinati tutti. non fate assolutamente usare il db di produzione per i test o create una copia esatta e fatelo testare in ambiente di staging altrimenti vi pentite.

Il vostro cliente vi chiede il report di test completo o soltanto la pagina con l'executive summary? Fornire al cliente il report tecnico con il dettaglio di tutti i risultati è rischioso per la security policy, quando chiedete un preventivo richiedete anche il formato con l'executive summary.

Fate inserire assolutamente nel contratto gli orari dei test e il referente per le emergenze. Nel caso si verifichi un blocco imprevisto o un sovraccarico del sistema, dovete avere una linea di coordinamento per poter bloccare subito il test con una sola telefonata.

se non ho capito male stai dicendo che: Da noi la cosa che faceva perdere più tempo era non sapere chi decidesse.

spero che le sia utile.

Ho lavorato a lungo su questo. Se la verifica in due passaggi è attiva, una password rubata da sola non serve a nulla.

Confermato dall'esperienza.

La mia domanda sarà un po' da principiante, scusate. Il fatto che tutti facciano una cosa non significa che sia quella giusta.

Correggetemi se sbaglio.

Scrivo questo per evitare che facciate lo stesso errore. Le persone difendono le abitudini, non i processi. La resistenza nasce da lì.

Ogni punto non scritto è un punto che in futuro le due parti ricorderanno diversamente. Se scrivete qui il risultato, sarà utile anche ad altri.

Mi sono rilassato leggendo questa risposta, quindi non succede solo a me. I primi tre mesi vanno bene, i problemi emergono al quarto mese.

I primi tre mesi vanno bene, i problemi emergono al quarto mese. Se scrivete qui il risultato, sarà utile anche ad altri.

Sono una piccola impresa, vi parlo dal mio punto di vista. Se permessi e ambito non sono scritti, quel test non deve iniziare.

Questa è la mia opinione, non la scrivo come verità assoluta.

Racconto la mia esperienza. Il tempo che impiegate a rilevare un problema ne determina direttamente il costo.

Se scrivete qui il risultato, sarà utile anche ad altri.

sono d'accordo in parte, in parte no. se rimproverate i falsi allarmi, nessuno segnalerà più nulla.

questa è la mia opinione non la scrivo come verità assoluta.

Il punto più trascurato riguardo a fasi processo penetration test è questo: Il vero problema non è il numero, ma su cosa si basa quel numero.

Cercare di farlo da soli è la strada più costosa. Buon lavoro.

se scendiamo nei dettagli: L'errore commesso da fasi processo penetration test è generalmente reversibile ma costoso.

se rimproverate i falsi allarmi, nessuno segnalerà più nulla e confermto dall'esperienza.

nel nostro caso è andata così. le modifiche ai dati di pagamento non vanno mai verificate tramite il cnaale di provenienza.

spero che le sia utile.