Come funziona l'iter di un penetration test e cosa dobbiamo predisporre come azienda prima di avviarlo?

Se dovete presentarlo a un cliente enterprise chiedete direttamente un test applicativo web in modalità grey box. Il test black box simula l'attacco esterno ma non riesce a scovare le falle di privilege escalation nella logica applicativa. Create tassativamente almeno due utenze di test con ruoli e permessi diversi per gli auditor.

Mettetevi subito lì e stilate un elenco con tutti gli IP pubblici dei server, il link di accesso alla web app da testare e il numero di microservizi o API di backend. Mandando questa lista insieme alla richiesta di preventivo, le società inquadrano subito il perimetro e vi quotano il lavoro in 3 giorni.

Durante la fase preparatoria non dimenticate questi 4 punti: 1) Fate un backup completo delle immagini dei server. 2) Inserite in whitelist sul firewall gli IP del team di test. 3) Disabilitate o limitate l'invio reale di email e SMS sull'ambiente di test. 4) Avvisate preventivamente il vostro cloud provider della finestra di penetration test.

se lo fate direttamente in prod occhio al database. comunque i tester sparano payload e comandi a caso dentro i form, rischiate che partano centinaia di mail con finte fatture o sms ai clienti veri. staccate temporaneamente i gateway di notifica x tutta la durata del test.

Il vostro cliente enterprise richiede solo il test della web app, o ha imposto come requisito anche la rete locale interna aziendale e i test di phishing per i dipendenti? Se lo scope è limitato alla sola applicazione SaaS, un budget di 70.000 TL sarà più che sufficiente.

Il mese scorso abbiamo fatto fare un test per un'integrazione retail simile su 1 web app e 6 IP esterni. È durato 5 giorni, e nel draft report sono emerse 2 vulnerabilità critiche e 4 medie. Tra fixare le falle e completare il retest di verifica ci abbiamo messo in tutto 20 giorni.

Sul mercato ci sono aziende che si limitano a lanciare un vulnerability scanner automatico stampano un PDF standard di 100 pagine e lo spacciano per pentest. Quando chiedete preventivi, fatevi assolutamente mettere per iscritto che venga fatta una validazione manuale e che vengano verificate le falle di business logic.

In sintesi: fate l'inventario dei vostri IP e URL, concordate una metodologia grey box, create un ambiente di test con relativi backup e assicuratevi che il retest di verifica sia incluso nel prezzo. Di solito l'intero processo si chiude entro un mese.

Stavo pensando la stessa cosa. Se ricevete tre risposte diverse su un argomento, la domanda è posta male.

Sono curioso di sapere se qualcuno lo fa in modo diverso.

Approfondisco l'aspetto tecnico. Se il percorso di notifica è lungo, la notifica non arriva; una notifica mancante significa un evento scoperto tardi.

Buon lavoro.

In generale è corretto ma manca un pezzo. L'errore commesso da come funziona un penetration test è generalmente reversibile ma costoso.

Gran parte del tempo perso si accumula nelle pratiche in attesa di approvazione. Confermato dall'esperienza.

Preso nota, grazie.

Salvato.

L'anno scorso abbiamo vissuto quasi la stessa cosa. Non abbiate paura di chiedere, chi non chiede paga sempre di più.

Lascio una nota, potrebbe servire.

Non trascurare nulla: Un backup non testato non è un backup.

È tutto, scusate se mi sono dilungato.

Ho lavorato a lungo su questo. Da noi la cosa che faceva perdere più tempo era non sapere chi decidesse.

Il punto più trascurato riguardo a come funziona un penetration test è questo: Gran parte del tempo perso si accumula nelle pratiche in attesa di approvazione.

Naturalmente cambia se la vostra situazione è diversa.

Assolutamente. Se devo aggiungere qualcosa: Il tempo che impiegate a rilevare un problema ne determina direttamente il costo.

Nessun processo migliora senza tracciamento, perché non sai cosa correggere.