Методы анализа уязвимостей: чего хватит небольшой компании перед первым пентестом?

Автоматические сканеры найдут SQL-инъекции или открытые порты, но не ответят на вопрос «видит ли пользователь А счета пользователя Б». В B2B-софте для логистики главный риск — это межклиентская изоляция прав (multi-tenancy). А такое вскрывается только вручную.

Что конкретно написано в анкете безопасности от клиента? Иногда там просто вопрос в духе «проводится ли регулярное сканирование уязвимостей», а иногда прямо жесткое требование стороннего сертификата вроде «Penetrationstest nach BSI» или аналогичного стандарта. Не тратьте бюджет, пока не уточните ТЗ.

Мы с командой в 12 человек на первом аудите взяли двухдневный гибридный тест веб-приложения за 3.200 EUR. По отчету закрыли 2 критичные уязвимости за неделю, получили отчет о повторной проверке (re-test), и клиент всё согласовал. 9.000 EUR на старте — явный перебор.

Сужайте скоуп (Scope). Не отдавайте подрядчику всю облачную инфраструктуру, выделите только веб-приложение, куда клиент заливает данные, и эндпоинты API. При уменьшении объема трудозатраты и ценник упадут вдвое.

отдадите 2.500 eur за обычный автоскан — выкинете деньги на ветер. короче они просто причешут пару страниц логов из опенсорсной тулзы и пришлют как отчет, безопасник на стороне заказчика раскусит это за минуту и завернет вас.

Не ведитесь на слова агентств о том, что «аудит архитектуры жизненно необходим». Понятно, что им выгоднее продать максимальный пакет. Но для кодовой базы команды из 10 человек полный аудит архитектуры затянется на недели и полностью парализует текущую разработку продукта.

Обязательно уточняйте, входит ли в предложение услуга «Re-test» (повторная проверка). После закрытия критических багов аудиторская фирма должна предоставить итоговый executive summary, где эти уязвимости официально отмечены как устраненные.

Сведу тему в кучу, так как ответов было несколько разных. Любой пункт, не зафиксированный письменно, в будущем обе стороны будут помнить по-разному.

Проверено опытом.

Не упустите: Если разрешение и объем тестирования не зафиксированы письменно, тест не начинать.

Это мое мнение, не утверждаю что оно единственно верное.

Здесь есть ловушка, не могу промолчать. Чем сложнее отменить решение, тем медленнее его принимайте.

Две недели ведения заметок дают лучший результат, чем шестимесячные прогнозы. Надеюсь, это будет полезно.

Сведу тему в кучу, так как ответов было несколько разных. Непроверенная резервная копия — не резервная копия.

У нас так же. Начните с небольшого эксперимента, не привязывайте всё сразу.

Спешка в решениях оборачивается исправлениями через полгода. Конечно, если ваша ситуация отличается, всё меняется.

Сохранил. Если не зафиксировать это письменно с самого начала, потом возникнут споры.

На этом всё извините если затянул.

Сохранил.

вопрос будет немного наивным, извините заранее. кстати если на один вопрос вы получаете три разных ответа, вопрос задан неправильно.

интересно, есть ли те кто деелает иначе.

На это стоит обратить внимание. Непроверенная резервная копия — не резервная копия.

Пишите, если есть вопросы, отвечу по мере возможности.

Я сталкивался с тем же.

Большое спасибо, сегодня попробую.