Quando si richiede un preventivo per un pentest bisogna chiedere un report di esempio e cosa deve contenere?

Nascondersi dietro l'NDA è la scusa più usata da chi lavora male in questo settore. Qualsiasi azienda seria ha pronto nel cassetto un template di report generico o anonimizzato con il proprio logo aziendale.

Non fidatevi a occhi chiusi nemmeno delle 50 pagine. Spulciatevele bene: se ci sono paginate e paginate di descrizioni di librerie a bassa severità e definizioni generiche prese da internet, potrebbe essere comunque l'output di uno scanner automatico.

L'anno scorso per 40.000 TL abbiamo preso il nostro primo report di pentest: su 60 pagine, 50 erano nozioni generiche da internet. Abbiamo contestato ma visto che lo scope nel contratto non era dettagliato siamo stati costretti a pagare.

una volta viste le vulnerabilità nel report, quanto ci mette di solito il team di sviluppo a correggerle? e per il re-test bisogna pagare a parte?

Nel report bisogna verificare assolutamente: 1) L'elenco di cosa è stato escluso dallo scope, 2) La logica di calcolo del CVSS, 3) Tempistiche e condizioni per il test di verifica, ovvero il re-test.

Quando i vostri clienti enterprise faranno i controlli, non guarderanno solo l'esistenza del report ma anche le certificazioni e gli accreditamenti validi dell'azienda e degli specialisti che l'hanno redatto. Mettete anche questo nel capitolato d'offerta.

L'azienda che non fornisce il report quasi sicuramente lancerà un tool automatico e il giorno dopo esporterà il PDF dall'interfaccia. onestamente non rischiate fossi in voi non lascerei le cose al caso.

Lo sentiamo dire da tempo, ma da noi non è mai andata così. Il vero problema non è il numero, ma su cosa si basa quel numero.

Se non lo rendete scritto fin dall'inizio, poi nascono discussioni. Spero che le sia utile.

Scrivo questo per evitare che facciate lo stesso errore. Prendere appunti per due settimane dà risultati migliori rispetto a una stima di sei mesi.

Spero che le sia utile.

Ottimo lavoro. cioè il fatto che tutti facciano una cosa non significa che sia quella giusta.

Questa è la mia opinione non la scrivo come verità assoluta.

Sono d'accordo. onestamente la maggior parte degli incidenti non inizia da una vulnerabilità ma da una password trapelata.

Io seguirei questa strada.

Ha ragione.

sono d'accordo anzi vorrei sottolinearlo poi insomma le decisioni affrettate diventano decisioni da correggere sei mesi dopo.

se ricevete tre risposte diverse su un argomento la domanda è posta male e comunque spero che le sia utile.

Riassumo quanto detto finora. Non fidatevi di una sola misura di sicurezza; procedete per livelli.

Se scrivete qui il risultato, sarà utile anche ad altri.

Sì, per quanto riguarda esempio report penetration test la situazione è esattamente così. Un backup non testato non è un backup.

Questa è la mia opinione, non la scrivo come verità assoluta.

Nel nostro caso è andata così. Prendere misure senza fare un inventario lascia aperta una porta che non vedi.

Questa è la mia opinione, non la scrivo come verità assoluta.

Avete ragione, sono passato anch'io per la stessa strada. Quando prendi una decisione, guarda prima quali dati hai a disposizione.

Spero che le sia utile.