Comprare tool di penetration test per app web e fare da soli o affidarsi a terzi?

Il punto debole dei tool automatici sono la manipolazione dei parametri e i processi legati al contesto. Se in un flusso di checkout a più passaggi si salta uno step arrivando alla fine, lo scanner non se ne accorge nemmeno. Fate pure eseguire la scansione al team per ripulire falle base come SQL injection e cross-site scripting, ma per i controlli sui permessi serve per forza l'intervento umano.

L'anno scorso ci abbiamo provato anche noi con un team di 3 persone. Lanciato un noto scanner open source, ci ha tirato fuori la bellezza di 184 alert di sicurezza. Lo sviluppatore ci ha perso due settimane per scoprire che 168 erano falsi allarmi. Le due settimane di stipendio del dev buttate via ci sono costate più di quanto avremmo speso per far fare il test all'esterno.

Fate attenzione anche quando vi affidate all'esterno. Sul mercato ci sono un sacco di presunte aziende di sicurezza che dicono di farti il test per 2.000-3.000 dollari ma poi in background lanciano lo stesso scanner open source che potreste installare voi stessi incollano l'output su un template col loro logo e ve lo spacciano per report. Se acquistate un servizio, fate mettere nero su bianco nel contratto che sono inclusi i test manuali sulla business logic.

correzione: mi ricordavo male il numero, era un po' più basso.

Procedete passo dopo passo: prima integrate strumenti open source di analisi del codice nella vostra pipeline di sviluppo. Questo vi permette di fare pulizia a costo zero. Poi parlate chiaramente col cliente e chiedetegli qual è lo standard minimo di certificazione o accreditamento che sono disposti ad accettare. A volte limitare lo scope alla sola superficie web esterna dimezza direttamente il prezzo del preventivo.

Vorrei fare una domanda: se mettiamo un buon firewall cloud davanti alla nostra applicazione web per filtrare il traffico, non si elimina del tutto la necessità di questi penetration test? I clienti non lo considerano sufficiente?

Il firewall è la guardia giurata all'ingresso, il penetration test è l'ingegnere che controlla i difetti strutturali dell'edificio. Il firewall blocca i pattern di attacco noti, ma non può conoscere i bug di progettazione o di autorizzazione interni all'applicazione. I vostri clienti vogliono vedere quanto è sicuro il codice dietro al firewall, motivo per cui una protezione perimetrale non sostituisce il report.

Anche noi abbiamo avuto lo stesso shock alla nostra prima vendita enterprise quando ci è arrivato un preventivo da 6.000 dollari ci tremavano le gambe... Abbiamo spiegato onestamente al cliente che eravamo una startup early stage, abbiamo ristretto lo scope agli endpoint critici e ci siamo accordati con un consulente di sicurezza freelance indipendente per 2.500 dollari ottenendo il report certificato. Vi consiglio di continuare a dialogare.

il vostro report interno gli uffici acquisti enterprise nn lo accetteranno mai purtroppo... boh il senso di quel report è proprio il timbro di un ente terzo indipendente. usate i tool solo x fare pulizia interna altrimenti fidatevi ke è solo tempo perso.

Guardando al processo il quadro cambia. La risposta varia molto in base al settore, non esiste una regola generale.

Naturalmente cambia se la vostra situazione è diversa.

Sono d'accordo. Il vero problema non è il numero ma su cosa si basa quel numero.

Questa è la mia opinione, non la scrivo come verità assoluta.

Come avete risolto questo? Da noi la cosa che faceva perdere più tempo era non sapere chi decidesse.

Se scrivete qui il risultato, sarà utile anche ad altri.

Riassumo quanto detto finora. Il fatto che tutti facciano una cosa non significa che sia quella giusta.

Lascio un avvertimento. Il tempo che impiegate a rilevare un problema ne determina direttamente il costo.

Correggetemi se sbaglio.

Ho vissuto la stessa cosa.

Anche da noi è così.

Ti seguo. Un report di scansione automatica e un penetration test non sono la stessa cosa.

Mi chiedo anch'io. Se ricevete tre risposte diverse su un argomento, la domanda è posta male.

Buon lavoro.

Sono una piccola impresa, vi parlo dal mio punto di vista. Se non lo rendete scritto fin dall'inizio, poi nascono discussioni.