Comprare noi i tool di penetration test e fare da soli, o è un errore?

Dovete scindere il processo in due parti: 1) Il vulnerability scan è automatico, si cercano falle note tramite software. 2) Il penetration test vero e proprio è il tentativo pratico, fatto da una mente umana, di penetrare ed estrarre i dati dietro a una vulnerabilità rilevata. Il vostro cliente vuole la seconda cosa, con il tool potete fare solo la prima.

Occhio a fare scansioni da soli con tool automatici: questi software sparano dati a raffica dentro i form web senza controllo. Se lo lanciate in produzione vi riempie il database di centinaia di record spazzatura e, se avete integrazioni per pagamenti o SMS, rischia di fare migliaia di chiamate di fila bruciandovi i crediti API in pochi minuti. Non fate assolutamente i test sul server live.

Due anni fa abbiamo commesso lo stesso errore. Abbiamo inviato a una banca nostra cliente il report generato dal tool che avevamo comprato. I loro tecnici di sicurezza ci hanno fatto subito notare che 14 alert critici erano in realtà falsi allarmi, mentre una banalissima falla sul controllo dei permessi non compariva affatto nel report. La figuraccia e il danno d'immagine ci sono costati molto più dei 4.000 GBP risparmiati.

Siete proprio sicuri che l'agenzia che vi ha chiesto 5.500 GBP faccia test manuali sul serio? Molte agenzie lanciano esattamente quegli stessi tool automatici di cui parlate riversano i log in un template di report standard e vi fatturano la cosa come penetration test. Chiedete assolutamente all'agenzia il perimetro la metodologia e quante ore di analisi manuale dedicheranno al report.

Le clausole di sicurezza informatica nei contratti enterprise impongono solitamente test condotti da auditor con accreditamenti indipendenti. Una valutazione interna stilata dal vostro stesso personale non alleggerirà le vostre responsabilità legali in caso di data breach, anzi potrebbe esporvi a richieste di risarcimento per inadempimento contrattuale.

Controllate il questionario di sicurezza del cliente. Se c'è scritto espressamente penetration test indipendente di terze parti, non perdete tempo con i vostri tool. Quando trattate con l'agenzia cercate di limitare il numero di IP e domini nel perimetro per provare a tirare giù il prezzo verso i 4.000 GBP.

Non spegnete l'entusiasmo del vostro sviluppatore ma usate quel tool come rete di sicurezza interna durante lo sviluppo. Se prima di sottoporvi al test indipendente fate delle scansioni interne e chiudete le falle più banali, il report dell'agenzia uscirà pulito e farete una figura nettamente più professionale con il vostro cliente.

edit: ho scritto da telefono, scusate gli errori di battitura.

salvato.

Non posso essere d'accordo al 100%. Un backup non testato non è un backup.

Il vero problema non è il numero, ma su cosa si basa quel numero. Spero che le sia utile.

Non lo sapevo. Le persone difendono le abitudini, non i processi. La resistenza nasce da lì.

Buon lavoro.

concordo pienamente. cioè nessun processo migliora senza tracciamento, perché non sai cosa correggere.

sero che le sia utile.

La risposta sopra ha colto l'essenza della questione. Inizia con un piccolo test, non impegnarti subito su tutto.

Confermato dall'esperienza.

L'anno scorso abbiamo vissuto quasi la stessa cosa. Se la verifica in due passaggi è attiva, una password rubata da sola non serve a nulla.

Se cerchi di cambiare tutto insieme, niente si stabilizza. Confermato dall'esperienza.

Lascio un avvertimento. Cercare di farlo da soli è la strada più costosa.

Un report di scansione automatica e un penetration test non sono la stessa cosa. Naturalmente cambia se la vostra situazione è diversa.

Ti seguo.

L'anno scorso abbiamo vissuto quasi la stessa cosa. Gli ambienti di test dimenticati diventano spesso un punto d'accesso più frequente del sistema live.

Questa è la mia opinione, non la scrivo come verità assoluta.

Mi chiedo anch'io.