Нам предлагают автоматический анализ уязвимостей — заменит ли он пентест или это совсем другое?

Сканеры смотрят на HTTP-коды и известные CVE. Ни один автоинструмент не поймает логическую дыру, когда пользователь в B2B-портале меняет сумму корзины на отрицательную и оформляет заказ. Без ручного теста тут никак.

Внимательно вчитайтесь в требования клиента word-for-word. Там написано «penetration testing» или «vulnerability assessment»? Если клиент крупный, они заброкуют отчёт автосканера в тот же день и потребуют пентест. Только сливёте 1 400 EUR.

Прежде чем принимать решение: 1) Узнайте у ИБ-отдела клиента пример приемлемого отчёта. 2) Обновите ОС и библиотеки на серверах своими силами. 3) Остаток бюджета пустите на точечный ручной тест хотя бы критических эндпоинтов API.

Мы в прошлом году так же обжёгшись с клиентом из Мадрида. Отдали 1 100 EUR за автоскан, а аудит через два дня заявил: «это просто выгрузка софта, где доказательства эксплойтов?». Пришлось сверху еще 3 000 EUR отвалить за ручной тест.

За 1 400 EUR вам, скорее всего, просто втиснут домен в коммерческий сканер и нажмут кнопку Start. А потом отдадут красивый PDF на 40 страниц с графиками. Прежде чем платить за это, гоните софт через бесплатные open-source утилиты сами.

На портале есть платежка или персональные данные? И под какие регуляции попадает ваш клиент? В Испании для некоторых гостендеров по стандарту ENS строго требуется аккредитованный пентест.

Эти понятия постоянно путают нормальная тема. Автоскан — это как общий анализ крови, показывает общую картину... А пентест — это уже хирург, который ищет и вырезает проблему. Чтобы убедить клиента, нужен хирург.

имхо спросите у клиента напрямую нужен им пентест или хватит обычного скана на уязвимости. кстати че зря тратить 3500 евро если им чисто формальная бумажка нужна.

Слежу за темой.

Очень актуальная тема.

Согласен, хочу даже особо подчеркнуть. Начните с небольшого эксперимента, не привязывайте всё сразу.

Начните с небольшого эксперимента, не привязывайте всё сразу. Пишите, если есть вопросы, отвечу по мере возможности.

Сохранил.

Вы правы.

У меня та же ситуация поэтому и спрашиваю. Большая часть потерь времени копится на задачах, ожидающих согласования.

Оставлю как заметку, пригодится.

Извините, но это верно не во всех случаях. Начните с небольшого эксперимента, не привязывайте всё сразу.

Если включена двухфакторная аутентификация, украденный пароль бесполезен.

Именно так, и при этом об этом мало кто знает. Решения, работающие в малом масштабе, рушатся при росте, я узнал это слишком поздно.

Исправьте, если я ошибаюсь.

Согласен.

Верно.