Abbiamo ricevuto un'offerta per un penetration test standard a prezzo fisso, che differenza c'è con uno approfondito?

Il pericolo vero nei pacchetti standard è che saltano le falle di tipo Broken Object Level Authorization (BOLA). I tool automatici sparano parametri a caso sulle richieste HTTP, ma non concepiscono l'idea di scaricare la bolla di consegna dell'azienda A usando il token dell'azienda B. Questi controlli vanno per forza fatti a mano.

Girate queste 3 domande scritte a entrambi i fornitori: 1) Quante ore di exploitation manuale sono previste? 2) Gli endpoint API e le interfacce mobile sono inclusi nel perimetro? 3) È incluso un re-test gratuito dopo la correzione delle vulnerabilità trovate? Le risposte vi chiariranno subito il motivo del divario di prezzo.

L'anno scorso a Gedda abbiamo pagato 14.000 SAR per un pacchetto standard per un accordo simile. Su 18 pagine di report, 15 erano nozioni generiche e output di scanner automatici. Il team di sicurezza della controparte lo ha bocciato senza appello e alla fine abbiamo dovuto spendere altri 32.000 SAR per fare il test serio.

ma non avete chiesto la lista dello scope all'azienda che ha fatto il prezzo più basso? molto probabilmente butterranno dentro un range di IP faranno partire il tool e dopo tre giorni vi consegneranno il report in PDF e se il security manager del vostro cliente ne capisce un minimo quel report glielo tira indietro.

quelli standard di solito sembrano test da click automatico. se nn hanno chiesto il codice sorgente o la documentazione api sicuro fanno solo una scansione automatica e via impossibile finire un test manuale in 3 giorni.

Inviate in anticipo il documento di scoping al responsabile della sicurezza delle informazioni della controparte. Non pagate alcuna azienda prima di aver ricevuto una conferma scritta sulla tipologia di test da loro accettata.

Nel contratto di servizio e di riservatezza stipulato con il cliente, come viene definito l'ambito del penetration test? Viene richiesto un approccio black box o white box? Inoltre, il vostro sistema gestisce pagamenti o conserva dati sensibili dei clienti?

Con il nostro primo cliente B2B abbiamo voluto risparmiare prendendo un pacchetto di test preconfezionato, ed eravamo tutti contenti perché il sistema risultava pulito. Due mesi dopo, il contabile del cliente ha scoperto che modificando un parametro nell'URL riusciva a scaricare le fatture di trasporto dell'azienda concorrente. Quel giorno abbiamo capito che i test standard sono solo un'illusione.

Mi farebbe piacere se scrivesse il risultato. Non abbiate paura di chiedere, chi non chiede paga sempre di più.

Nessun processo migliora senza tracciamento, perché non sai cosa correggere. Io seguirei questa strada.

Avrei una domanda, non vorrei deviare dall'argomento, ma... Quando prendi una decisione, guarda prima quali dati hai a disposizione.

La risposta varia molto in base al settore, non esiste una regola generale. Spero che le sia utile.

sono d'accordo.

Hai fatto bene ad aprire questo thread.

Tre cose da controllare mentre lo fai. Se cerchi di cambiare tutto insieme, niente si stabilizza.

Lascio una nota, potrebbe servire.

Corretto. Inizia con un piccolo test, non impegnarti subito su tutto.

Buon lavoro.

Ho vissuto la stessa cosa due anni fa. Un backup non testato non è un backup.

Il vero problema non è il numero, ma su cosa si basa quel numero.

Vorrei fare una domanda. onestamente prendere appunti per due settimane dà risultati migliori rispetto a una stima di sei mesi.

Lascio una nota potrebbe servire.

Ti seguo.

Può approfondire un po'? Se la verifica in due passaggi è attiva, una password rubata da sola non serve a nulla.

Se avete domande, scrivete, rispondo per quanto possibile.