Riceveremo il nostro primo report di pentest: cosa deve contenere un buon report e a cosa fare attenzione?

Controllate la logica dei punteggi CVSS per ogni vulnerabilità. Non basta un'etichetta generica 'Critico' o 'Medio'. La vector string deve essere scritta chiaramente e devono esserci payload o comandi di PoC che dimostrino l'effettiva sfruttabilità della falla. Senza questi elementi, i vostri programmatori lavoreranno alla cieca per correggerla.

Quando vi consegnano il report verificate questi tre punti: 1) Sono rimasti nel perimetro concordato o hanno scansionato tutti i sottodomini previsti a contratto? 2) I passaggi per riprodurre ogni vulnerabilità sono chiari e replicabili step-by-step? 3) I suggerimenti di fix sono adatti al vostro sistema operativo e alle librerie che utilizzate davvero?

edit: ho scritto una cosa sbagliata sopra, scusate.

Nel nostro primo test a Parigi, pagato 5.200 euro, ci hanno segnalato 48 vulnerabilità. Analizzandole abbiamo visto che 22 erano solo banner di versione irrilevanti esposti dal server. Abbiamo contestato il documento, fatto pulizia e ci siamo concentrati sulle 6 falle critiche reali. Non conta il numero di pagine, conta quante vulnerabilità critiche concrete sono state isolate.

Alla consegna del report fate una riunione con il vostro sviluppatore. Provate a riprodurre in ambiente di sviluppo le prime due falle più critiche seguendo esattamente i passaggi descritti. Se il dev non riesce a ricreare il problema seguendo la guida, il report è carente: chiedete una demo live a chi ha svolto il test.

noi al primo report eravamo andati nel panico x pagine piene di avvisi ssl ma poi si è scoperto ke lo scanner aveva fatto tutto in automatico. comunque l'esperto nn aveva provato nemmeno una singola api injection a mano... report senza screenshot o payload rimandatelo indietro subito secondo me.

Nota: ho scritto questo basandomi sulla mia esperienza, potrebbe non valere per tutti.

Negli accordi iniziali avete stabilito un approccio black-box o white-box? Se avete fornito all'esperto il codice sorgente o account di test, il report deve documentare falle logiche di privilege escalation molto più profonde. Il tipo di perimetro definisce direttamente le aspettative sul documento finale.

Molte aziende prendono il report di pentest e lo mettono subito in un cassetto. La cosa fondamentale, oltre alla qualità del documento, è avere il diritto a una seconda verifica (re-test) inclusa dopo i fix. Se il re-test non è compreso, quel report resta solo un foglio di carta costoso che descrive il passato.

Mi sono rilassato leggendo questa risposta, quindi non succede solo a me. Un report di scansione automatica e un penetration test non sono la stessa cosa.

Sono curioso di sapere se qualcuno lo fa in modo diverso.

Sono emerse tre opinioni diverse, si completano a vicenda. Un report di scansione automatica e un penetration test non sono la stessa cosa.

Spero che le sia utile.

Se volete procedere così, risolvete questo punto fin dall'inizio. Non abbiate paura di chiedere, chi non chiede paga sempre di più.

Buon lavoro.

Questo thread è archiviato.

preso nota grazie.

Avete ragione sono passato anch'io per la stessa strada. Il fatto che tutti facciano una cosa non significa che sia quella giusta.

Correggetemi se sbaglio.

secondo voi funziona a tutte le scale? insomma se ricevete tre risposte diverse su un argomento, la domanda è posta male.

la risposta varia molto in base al settore, non esiste una regola generale. buon lavoro.

Ha ragione.

C'è un errore comune che si commette facendo questo. Se la verifica in due passaggi è attiva, una password rubata da sola non serve a nulla.

Se il percorso di notifica è lungo, la notifica non arriva; una notifica mancante significa un evento scoperto tardi. Se avete domande, scrivete rispondo per quanto possibile.

Argomento molto attuale.

sono d'accordo anzi vorrei sottolinearlo. nessun processo migliora sena tracciamento perché non sai cosa correggere.

la risposta varia molto in base al settore non esiste una regola generale poi questa è la mia opinione non la scrivo come verità assoluta.