Нас попросили провести пентест сайта: что это вообще такое и действительно ли нужно?

Пентест обычно делают тремя способами: Black Box — когда эксперты атакуют «вслепую» без вводных данных, White Box — с полным доступом к исходному коду и серверу, и Gray Box — под учетной записью обычного пользователя. Для интернет-магазина эффективнее всего Gray Box, так как моделируются действия и внешнего хакера, и клиента, пытающегося повысить свои привилегии в системе.

Два месяца назад делали трехдневный тест для сайта примерно таких же масштабов, отдали 38.000 TL. Карты тоже не хранили, но в API нашлась критическая уязвимость авторизации: любой юзер мог видеть историю заказов и домашние адреса всех остальных клиентов. Одно только закрытие этой дыры уже отбило каждый потраченный куруш.

Обязательно уточните у компании, которая запросила 45.000 TL, что конкретно входит в скоуп. На рынке полно контор которые просто прогоняют автоматический софт и через два часа выдают его выгрузку под видом «отчета». Будут ли ручные проверки? Сколько человеко-дней заложено? Есть ли у специалистов действующие сертификаты? Требуйте зафиксировать это письменно.

Раз партнер требует отчет, никуда вы от этого не денетесь. Чтобы сбить цену, сокращайте объем: 1) отдайте на тест только само веб-приложение исключив внутреннюю офисную сеть, 2) ограничьте время теста двумя рабочими днями, 3) пропишите в договоре бесплатную повторную проверку (re-test) после того, как устраните найденные баги.

В прошлом году у нас был маленький интернет-магазин украшений, мы тоже думали «да кому мы нужны». В один прекрасный день через клиентскую панель взломали базу, потерли все адреса доставки и стали вымогать выкуп. Две недели стояли без продаж а восстановление из бэкапов и разгребание потерь обошлись в разы дороже любого аудита безопасности.

готовый виртуальный pos защищает только данные карт. если из базы сайа утекут адреса и телефоны тысяч людей, штрафы по kvkk будут куда больше этих 45 тысяч лир.

А вашему партнеру нужен обычный отчет от независимых аудиторов или обязателен сертификат соответствия TSE уровня A или B? Если в условиях прописана конкретная аккредитация, не отдавайте деньги сомнительным фирмам, такой отчет у вас просто не примут.

Если делаете впервые, не бойтесь самого процесса. Сайт во время проверки не ляжет; нормальные безопасники тестируют либо на копии (стейдже) либо ночью, когда наплыв посетителей минимальный, причем все под строгим контролем.

У меня было наоборот, поэтому и пишу. Не полагайтесь на одну меру защиты; действуйте слоями.

Это мое мнение не утверждаю что оно единственно верное.

Вы правы.

расскажу, что было у меня, вдруг пригодится. время обнаружения проблемы напрямую определяет ее стоимость.

конечно, если ваша ситуация отличеатся всё меняется.

Мне тоже интересно. Не стесняйтесь спрашивать молчание всегда обходится дороже.

Автоматический отчет о сканировании и пентест — это не одно и то же. Проверено опытом.

Спасибо, это именно то, что я искал.

У нас так же.

В целом верно, но один момент упущен. То, что делают все, не значит, что это правильно.

Я бы пошел этим путем.

я бы не торопился. две недели ведения заметок дают лучший результат, чем шестимесячные прогнозы.

это мое мнение не утверждаю, что оно единственно верное.

У меня было наоборот, поэтому и пишу. Решения, работающие в малом масштабе, рушатся при росте, я узнал это слишком поздно.

Проверено опытом.

Не знал об этом.