Ci hanno chiesto un pentest per il nostro sito: cosa significa ed è davvero necessario?

Di solito il pentest si fa con tre metodi: Black Box, dove non viene fornita alcuna informazione sul sistema; White Box, dove si garantisce l'accesso al codice sorgente e al server; e Gray Box, eseguito con privilegi utente standard. Per un e-commerce, il più efficiente è il Gray Box, che simula sia un attaccante esterno sia un cliente con permessi elevati.

Due mesi fa abbiamo fatto fare un test di 3 giorni per il nostro sito, che ha dimensioni simili, pagando 38.000 TL. Nemmeno noi salvavamo i dati delle carte, ma hanno trovato una falla di autenticazione sull'API. Un utente qualsiasi poteva vedere lo storico ordini e gli indirizzi di casa di tutti gli altri clienti. Solo per aver chiuso quella falla, sono stati soldi spesi benissimo.

Chiedete assolutamente i dettagli dell'ambito all'azienda che vi ha chiesto 45.000 TL. Sul mercato ci sono un sacco di posti che lanciano un software automatico e dopo due ore ti consegnano l'output come se fosse un report. Faranno test manuali? Quanti giorni/persona lavoreranno? Chi fa il test ha certificazioni valide? Chiedete tutto per iscritto.

Se il partner vuole il report, non potete farne a meno. Per abbassare il preventivo riducete il perimetro: 1) Includete solo l'applicazione web ed escludete la rete aziendale interna, 2) Limitate la durata del test a 2 giorni lavorativi, 3) Fate inserire a contratto un re-test gratuito di verifica dopo la chiusura delle vulnerabilità.

L'anno scorso, quando avevamo un piccolo sito di gioielli, dicevamo "ma a chi volete che importi di noi". Un giorno sono entrati nel database dal pannello clienti hanno cancellato tutti gli indirizzi di spedizione e hanno chiesto un riscatto. Siamo stati fermi due settimane senza vendere; ripristinare i backup e recuperare i dati persi ci è costato molte volte più del prezzo del test.

usare il pos virtuale copre solo la sicurezza delle carte.. ma onestamente se dal database del sito rubano indirizzi e recapiti di migliaia di persone, le sannzioni del kvkk superano di gran lunga i 45 mila lira.

Il vostro partner chiede un normale report di audit indipendente o esige un penetration test certificato TSE livello A o B? Se nel capitolato c'è un requisito di accreditamento specifico, non buttate soldi con aziende improvvisate perché il report non verrebbe considerato valido.

Essendo la prima volta non fatevi prendere dal panico. Quando l'azienda di sicurezza fa i test il sito non va giù; di solito eseguono i test su una copia del sito o di notte in orari a basso traffico in modo controllato.

A me è successo l'esatto contrario, per questo scrivo. Non fidatevi di una sola misura di sicurezza; procedete per livelli.

Questa è la mia opinione non la scrivo come verità assoluta.

Ha ragione.

racconto cosa mi è successo magari vi è utile ma il tempo che impiegate a rilevare un problema ne determina direttamente il costo.

naturalmente cambia se la vostra situazione è diversa.

Mi chiedo anch'io. Non abbiate paura di chiedere, chi non chiede paga sempre di più.

Un report di scansione automatica e un penetration test non sono la stessa cosa. Confermato dall'esperienza.

Grazie mille, era la risposta che cercavo.

Anche da noi è così.

In generale è corretto, ma manca un pezzo. Il fatto che tutti facciano una cosa non significa che sia quella giusta.

Io seguirei questa strada.

direi di non avere fretta. boh prendere appunti per due settimane dà risultati migliri rispetto a una stima di sei mesi.

qusta è la mia opinione, non la scrivo come verità assoluta.

A me è successo l'esatto contrario, per questo scrivo. Le soluzioni che funzionano su piccola scala crollano quando si cresce, l'ho imparato tardi.

Confermato dall'esperienza.

Non lo sapevo.