Tempi di consegna del report di penetration test: quanti giorni ci vogliono e cosa dovrei trovare in un report di esempio?

Nel report di esempio controllate soprattutto la parte di 'PoC', cioè la Proof of Concept. In un penetration test vero, una volta individuata la vulnerabilità, l'esperto deve dimostrare con screenshot di essere riuscito a estrarre dati senza autorizzazione o a eseguire comandi. Non perdete tempo con aziende che non ripuliscono il report dai falsi positivi generati dagli scanner automatici.

Nel contratto di servizio fate inserire tassativamente queste clausole: 1) Invio di una segnalazione tempestiva via e-mail entro 24 ore dall'individuazione di riscontri critici e ad alta gravità, 2) Consegna della bozza di report entro massimo 5 giorni lavorativi dal termine dei test, 3) Esecuzione di una sessione gratuita di verifica (re-test) entro 30 giorni dalla risoluzione delle vulnerabilità.

Il mese scorso abbiamo terminato il test su mobile e API. L'attività tecnica si è chiusa venerdì sera e martedì mattina avevamo già la bozza di report. C'erano 4 vulnerabilità critiche; il team di sviluppo le ha sistemate in 10 giorni e il giorno dopo l'azienda ha fatto il re-test rilasciando il report finale ripulito. Aspettare 15 giorni lavorativi per un report vi blocca completamente la roadmap dei fix.

All'azienda che vi chiede 15 giorni lavorativi mettete come condizione inderogabile un 'report provvisorio giornaliero per le vulnerabilità critiche'. Se non accettano, scartateli subito. Perché se durante il pentest saltano fuori falli come SQL injection o Remote Code Execution restare due settimane senza chiuderle è un suicidio commerciale.

Tra chi promette il report in 3 giorni c'è pure chi non scrive nulla durante il test: si limita a cliccare su 'Esporta in PDF' dal software di scansione automatica e schiaffare il vostro logo in copertina. Oltre ai tempi rapidi, verificate dal report di esempio se l'analisi è redatta a mano ed è ritagliata su misura per il vostro team.

se nn vi mostrano un report di esempio nn sedetevi nemmeno a trattare. come fai a firmare se nn sai cosa ti danno? insomma le aziende serie hanno gia pronti i template con i dati dei clienti oscurati.

Nel contratto fate molta attenzione anche ai tempi per il 're-test'. Dopo aver ricevuto il report vi servirà del tempo per correggere le falle. L'impegno da parte dell'azienda a eseguire un secondo controllo gratuito sui sistemi per almeno 30 o 45 giorni dalla consegna del report è fondamentale per la riuscita del progetto.

se il test dura 5 giorni e ce ne mettono 15 per il report, quasi sicuramente il sistemista che ha fatto il test è già occupato a bucare i server di un altro cliente invece di documentare il lavoro.. poi se avete falle critiche, i bot in giro per la rete le trovano molto prima che lo scopriate voi dopo due settimane.

Assolutamente. Se devo aggiungere qualcosa: Da noi la cosa che faceva perdere più tempo era non sapere chi decidesse.

Le soluzioni che funzionano su piccola scala crollano quando si cresce, l'ho imparato tardi. Lascio una nota, potrebbe servire.

Scusate, ma questo non vale in ogni caso. Avere il backup accessibile sulla stessa rete e con le stesse credenziali lo rende parte del bersaglio.

Ho un'obiezione qui. Quando prendi una decisione, guarda prima quali dati hai a disposizione.

Quando prendi una decisione, guarda prima quali dati hai a disposizione. Sono curioso di sapere se qualcuno lo fa in modo diverso.

Preso nota, grazie.

Argomento molto attuale. Più è difficile tornare indietro su una decisione, più lentamente dovreste prenderla.

Se avete domande scrivete, rispondo per quanto possibile.

Vorrei fare una domanda. Le persone difendono le abitudini, non i processi. La resistenza nasce da lì.

Questa è la mia opinione, non la scrivo come verità assoluta.

ha ragione poi più è difficile tornare indietro su una decisione più lentamente dovreste prenderla.

vorrei fare una domanda e se il percorso di notifica è lungo la notifica non arriva; una notifica mancante significa un evento scoperto tardi.

non fidatevi di una sola misura di sicurezza; procedete per livelli. insomma se avete domande scrivete rispondo per quanto possibile.

Grazie mille, proverò oggi. Se non lo rendete scritto fin dall'inizio, poi nascono discussioni.

Un report di scansione automatica e un penetration test non sono la stessa cosa. Buon lavoro.

Ottimo lavoro.