Сказали «что такое пентест» — а нам на нашем масштабе он реально нужен, и что он вообще даёт?

Агентство, которое само писало код, делать по нему пентест — это абсурд. Нельзя ожидать, что они сами найдут и отчитаются о своей же ошибке. Если уж заказывать этот тест, берите предложение у фирмы, независимой от агентства-разработчика портала, которая занимается только безопасностью.

В пентесте особенно смотрят на 'Broken Object Level Authorization', то есть уязвимости несанкционированного просмотра данных. Например, дилер A вошёл в систему и поменял в браузере номер счёта-фактуры с 101 на 102 — видит ли он счёт дилера B? Файрвол этого не поймёт, это ловит только пентест.

В прошлом году для наших 20 дилерских порталов похожего масштаба мы заплатили 35.000 TL и заказали тест независимому специалисту. В отчёте выяснилось, что два дилера могли видеть скидочные ставки друг друга. Если бы об этой уязвимости узнали на рынке, наша деловая репутация пошла бы прахом, деньги точно окупились.

агентство скорее всего запустит автоматический инструмент и выдаст pdf. требуйте документ с объёмом работ посмотрите, написано ли в отчёте, сколько часов ручного тестирования будет. вот что скажу.

edit: писал с телефона, извините за опечатки.

Вы принимаете оплату картой на портале? Если в системе хранятся карты или данные карты проходят через ваш собственный сервер а не через общую платёжную страницу, то тест — не роскошь, а прямая необходимость.

Прежде чем сказать предложению да задайте агентству такой вопрос: 'Этот тест будет серым ящиком или чёрным ящиком, входит ли в цену верификация исправлений найденных уязвимостей?' Если верификационного теста нет, отчёт отправится в мусорку.

Два года назад взломали портал знакомого оптовика по текстилю и продали весь список клиентов и прайс конкурирующей фирме. Ни бэкапы ни SSL не спасли. С того дня мы сделали проверку безопасности рутиной при каждом крупном обновлении.

Хочу задать вопрос. Решения, работающие в малом масштабе рушатся при росте я узнал это слишком поздно.

Решения работающие в малом масштабе рушатся при росте, я узнал это слишком поздно. Если напишете результат здесь, это поможет и другим.

сохранил. люди защищают не процесс а привычку.. но сопротивление идет оттуда.

Краткое резюме для новичков: Непроверенная резервная копия — не резервная копия.

Процесс, по которому не ведется учет, не улучшается, потому что вы не знаете, что именно улучшать. Удачи.

Согласен, хочу даже особо подчеркнуть. ну все кто торопится с что такое пентест, спотыкаются на одном и том же.

На этом всё, извините, если затянул.

Как думаете, это сработает в любом масштабе? Главное не цифра, а то, на основе чего она получена.

Интересно, есть ли те, кто делает иначе.

Обсуждение размылось, давайте структурируем. Если на один вопрос вы получаете три разных ответа, вопрос задан неправильно.

Если напишете результат здесь, это поможет и другим.

Не знал об этом.

Об этом много говорят, но у нас так никогда не было. Непроверенная резервная копия — не резервная копия.

Я бы пошел этим путем.

Хорошо, что вы создали эту тему.

Отличная работа. Если делаете впервые начните с малого, масштабирование потом.

Я бы пошел этим путем.

Хочу задать вопрос. Спешка в решениях оборачивается исправлениями через полгода.

Если на один вопрос вы получаете три разных ответа, вопрос задан неправильно. Надеюсь, это будет полезно.