Vulnerability scan e penetration test sono la stessa cosa? Quale fa al caso nostro?

Gli scanner automatici generano un sacco di falsi positivi. Cioè possono segnalare come criticità qualcosa che in realtà non crea alcun rischio concreto. O al contrario, ignorare del tutto processi complessi come il bypass dell'autenticazione a due fattori. La differenza di prezzo sta tutta nelle ore di lavoro dell'esperto.

Se accettate la scansione da 12.000 TL, vi manderanno un report grezzo di 80 pagine in inglese generato da software commerciali già pronti. E per capire e scremare quello che c'è scritto dovrete comunque pagare a ore uno sviluppatore.

Noi due anni fa abbiamo fatto proprio questo errore, abbiamo preso il report di scansione perché costava poco. C'erano 15 falle segnate in rosso il nostro dev le ha controllate e 12 erano semplici avvisi su porte chiuse. onestamente panico inutile e soldi buttati.

Per capire la differenza basta guardare due punti: 1) La scansione automatica finisce in poche ore con dei tool e fa un semplice censimento. 2) Il pentest richiede giorni, sfrutta concretamente la falla trovata per tentare di accedere al database e fornisce prove tangibili.

Il mese scorso abbiamo fatto fare un pentest sul nostro sito. Nella pagina del profilo utente, dove lo scanner automatico non aveva visto nulla, è saltato fuori un errore di permessi che permetteva di visualizzare indirizzi e ordini di altri utenti. I tool automatici non l'avrebbero mai beccato.

Certo, potete spendere 12.000 TL per comprarvi una bella spunta verde e dormire tranquilli. Ma se poi vi bucano il sito e rubano i dati delle carte di credito, non potete mostrare quel report ai clienti per giustificarvi.

In sintesi: se il budget è tiratissimo, fare una scansione è pur sempre meglio di niente, ma non risolverà i problemi di sicurezza del codice scritto da voi. Se fate e-commerce, i 55.000 TL del penetration test non sono una spesa, ma una vera e propria polizza assicurativa.

Esatto, e non è nemmeno così noto. Inizia con un piccolo test, non impegnarti subito su tutto.

Correggetemi se sbaglio.

Quanto scritto rispecchia esattamente ciò che abbiamo vissuto. Gran parte del tempo perso si accumula nelle pratiche in attesa di approvazione.

La maggior parte degli incidenti non inizia da una vulnerabilità, ma da una password trapelata. Questa è la mia opinione, non la scrivo come verità assoluta.

Sono d'accordo.

Se scendiamo nei dettagli: Quando prendi una decisione, guarda prima quali dati hai a disposizione.

Io seguirei questa strada.

vorrei fare una domanda. la risposta varia molto in base al settore non esiste una regola generale.

io seguirei questa strada.

Separiamo i concetti vengono confusi. comunque ogni punto non scritto è un punto che in futuro le due parti ricorderanno diversamente.

Sono curioso di sapere se qualcuno lo fa in modo diverso.

Sono emerse tre opinioni diverse, si completano a vicenda. Non fidatevi di una sola misura di sicurezza; procedete per livelli.

Non abbiate paura di chiedere, chi non chiede paga sempre di più. Confermato dall'esperienza.

Il mio dubbio è stato chiarito, grazie. Se permessi e ambito non sono scritti, quel test non deve iniziare.

Se scrivete qui il risultato, sarà utile anche ad altri.

In generale è corretto, ma manca un pezzo. Cercare di farlo da soli è la strada più costosa.

Non ho alcuna esperienza in materia di significato vulnerability scan, quindi chiedo. Nessun processo migliora senza tracciamento, perché non sai cosa correggere.

Sono curioso di sapere se qualcuno lo fa in modo diverso.

Raro trovare articoli che spiegano le cose così chiaramente.