Как проводится пентест — не хочу получать предложение, не разбираясь в процессе от начала до конца

Держитесь подальше от фирм, которые говорят, что закончат за два дня. Скорее всего, они запустят сзади автоматический сканер, налепят свой логотип на выходной PDF и отдадут его. Для API и панелей, написанных командой из 14 человек, полноценный тест «серый ящик» занимает минимум 5-7 рабочих дней.

P.S.: вопрос уже задавали ниже, ответ во втором сообщении.

На этапе подготовки вы должны спросить у команды тестировщиков их статические IP-адреса. Вам нужно добавить эти IP-адреса в белый список в вашем файрволе и в защитном слое веб-приложения. Иначе в первую же минуту ваш файрвол заблокирует тестовый IP-адрес, и вы зря потеряете время.

Сравнивая предложения, обязательно задайте компаниям письменно три вопроса: 1) Какие отраслевые сертификаты у тестировщиков и будут ли они лично проводить тесты? 2) Строится ли методика тестирования по международным стандартам? 3) Предоставляется ли право на бесплатный ретест после закрытия уязвимостей?

В прошлом году заказывали аналогичную услугу для 2 веб-приложений и 1 мобильного. Заплатили 65.000 TL, сам тест занял 8 рабочих дней. Всего нашли 12 уязвимостей, 3 из них были связаны с эскалацией привилегий. Наши разрабы закрыли дыры за 10 дней, потом за 2 дня провели верификацию и закрыли отчет.

когда мы первый раз делали они на боевой базе попробовали так там почти все тестовые записи перемешались... ни в коем случае не давайте тестить на проде или делайте точную копию и гоняйте на стейдже иначе проблем не оберетесь.

Клиент требует полный отчет о тестировании или только страницу executive summary? Отдавать клиенту детальный технический отчет со всеми уязвимостями рискованно с точки зрения политики безопасности, так что на этапе КП сразу запрашивайте и краткую выжимку для руководства.

Обязательно пропишите в договоре часы проведения тестов и контакты для экстренной связи. Если система неожиданно зависнет или возникнет перегрузка, у вас должна быть прямая связь, чтобы остановить тест одним звонком.

если я правильно понял, вы имеете в виду следующее: Больше всего времени у нас уходило на то, что было непонятно, кто принимает решения.

надеюсь это будеет полезно.

Я долго занимался этим вопросом. Если включена двухфакторная аутентификация, украденный пароль бесполезен.

Проверено опытом.

Вопрос будет немного наивным, извините заранее. То, что делают все, не значит, что это правильно.

Исправьте, если я ошибаюсь.

Пишу это, чтобы вы не совершили ту же ошибку. Люди защищают не процесс, а привычку. Сопротивление идет оттуда.

Любой пункт, не зафиксированный письменно, в будущем обе стороны будут помнить по-разному. Если напишете результат здесь, это поможет и другим.

Прочитал этот ответ и выдохнул: значит, проблема не только у меня. Первые три месяца все идет хорошо, проблемы всплывают на четвертом.

Первые три месяца все идет хорошо, проблемы всплывают на четвертом. Если напишете результат здесь, это поможет и другим.

Я маленький бизнес, расскажу со своей стороны. Если разрешение и объем тестирования не зафиксированы письменно, тест не начинать.

Это мое мнение, не утверждаю, что оно единственно верное.

Поделюсь своим опытом. Время обнаружения проблемы напрямую определяет ее стоимость.

Если напишете результат здесь, это поможет и другим.

частично согласен частично нет. если ругать за ложные тревоги, никто больше не будет приыслать уведомления.

это мое мнение не утверждаю что оно единственно верное.

Самое упускаемое из вида в теме этапы процесса пентеста: Главное не цифра, а то, на основе чего она получена.

Пытаться сделать это в одиночку — самый дорогой путь. Удачи.

если углубиться в детали: Ошибка, сделанная на стороне этапы процесса пентста обычно исправима но дорого.

если ругать за ложные тревоги, никто больше не будет присылать увеедомления и в общем проверено опытом.

у нас было так... изменение платежных данных никогда не подтверждаается через тот же канал.

ндаеюсь это будет полезно.