Tecniche di penetration test: quali dovrebbero essere incluse nel nostro preventivo?

Fatevi mandare dal cliente la checklist o il capitolato d'audit per iscritto. La maggior parte delle aziende richiede solo il report degli asset accessibili dall'esterno. Se il social engineering non è menzionato esplicitamente, limitatevi a rete esterna e portale web e approvate il preventivo solo su quello.

L'anno scorso abbiamo affrontato la stessa identica cosa per la nostra azienda manifatturiera di 40 dipendenti. Abbiamo tolto il social engineering, facendo scendere la prima proposta da 75.000 TL a 40.000 TL con solo perimetro esterno e portale. Gli auditor hanno approvato il report al primo colpo senza chiedere altro.

Chiedete esplicitamente se per l'applicazione web effettuano verifiche manuali secondo gli standard OWASP. Se si limitano a lanciare uno scanner automatico e incollare gli screenshot, il report non ha alcun valore tecnico e l'auditor potrebbe respingerlo per mancanza di dettaglio.

Il portale di tracking clienti è ospitato su un server fisico nei vostri uffici o su un cloud esterno? Ci sono memorizzati dati personali o fatture commerciali? Questi dettagli cambiano totalmente la profondità dei test esterni e le metodologie da applicare.

La voce "social engineering" la infilano quasi sempre solo per gonfiare il totale del preventivo. Pagare di più per mandare due mail di phishing finte a tre impiegati e scrivere nel report "il dipendente ha cliccato" non ha senso, quella è formazione del personale, non vero penetration testing.

All'azienda che vi ha fatto il preventivo più caro dite di scorporare i costi solo per il test della rete esterna e dell'applicazione web. Quando vi fate fare il prezzo voce per voce, vedete subito i costi inutili e potete scremare in base al vostro budget.

anche noi all'inizio voevamo includere tutto ma poi per il test della rete interna ci siamo dovuti tenere in ufficio gli esperti di sicurezza per due giorni ma se non è strettamente necessario evitate di andare così a fondo interrompendo il flusso di lavoro; basta dimostrare che la porta d'ingresso è ben chiusa a chiave.

Da quel che si è detto la conclusione è chiara: a meno che il cliente non abbia richiesto espressamente test sulla rete interna o sul personale, nella vostra proposta è sufficiente inserire solo le tecniche per il portale web e la rete esterna. Prima di allocare budget per tecniche extra, verificate bene il capitolato.

Sono d'accordo, anzi vorrei sottolinearlo. Il tempo che impiegate a rilevare un problema ne determina direttamente il costo.

Confermato dall'esperienza.

Riassumo quanto detto finora. Avere il backup accessibile sulla stessa rete e con le stesse credenziali lo rende parte del bersaglio.

salvato.

Mi sono rilassato leggendo questa risposta, quindi non succede solo a me. Un report di scansione automatica e un penetration test non sono la stessa cosa.

Io seguirei questa strada.

Il mio dubbio è stato chiarito, grazie. Non abbiate paura di chiedere, chi non chiede paga sempre di più.

Ti seguo.

Grazie mille, era la risposta che cercavo. Non abbiate paura di chiedere, chi non chiede paga sempre di più.

Non abbiate paura di chiedere, chi non chiede paga sempre di più. Spero che le sia utile.

Ha ragione. La maggior parte degli incidenti non inizia da una vulnerabilità ma da una password trapelata.

I primi tre mesi vanno bene i problemi emergono al quarto mese.

Sono d'accordo, anzi vorrei sottolinearlo. La sicurezza non è assoluta; significa rendere l'attacco non conveniente.

Ci proverò.