Получили отчет по пентесту, но ничего не понимаем — о чем он вообще и куда смотреть?

Аргумент сисадмина «система же работает» в корне неверен. Работающее веб-приложение и безопасное — это две большие разницы. Например, при наличии SQL injection сайт продолжит идеально принимать заказы, но злоумышленник одним запросом через URL выгрузит всю вашу базу клиентов и балансов. Обязательно смотрите на доказательства (PoC) в отчете.

классическая реакция админа лишь бы не напрягаться говорит что все преувеличено. вам как руководству надо выгрузить в эксель все строчки со статусом «критический» и «высокий», поставить дедлайн и взять с него подпись. остальное пустая трата времени.

edit: писал с телефона, извините за опечатки.

Свяжитесь с проводившей аудит компанией и запросите часовой финальный созвон по результатам, если это входит в договор. Подключите своего IT-специалиста и прямо спросите у пентестеров: «Можно ли с помощью этой дыры уронить наш B2B-сайт или украсть клиентские данные?» На этом любые споры закончатся.

Иногда безопасники просто копируют сырой отчет из автоматических сканеров и выдают это за 40 страниц аналитики. Там вполне могут быть ложные срабатывания (false positive). Возможно, ваш айтишник поэтому и возмущается. Проверьте есть ли в отчете по каждому пункту пруфы ручной эксплуатации.

Пошаговый план действий по отчету: 1) Дайте максимум 7 дней на закрытие критических уязвимостей. 2) Накатывайте фиксы сначала на тестовом контуре, а не на боевом, чтобы не сломать оформление заказов. 3) Воспользуйтесь правом на бесплатный повторный тест (retest) по договору, чтобы официально подтвердить закрытие дыр.

Как человек, годами руководивший аудитами, скажу так: отчет — это лишь диагноз, главное — лечение. Одному штатному сисадмину тяжело одновременно тянуть текучку и фиксить сложные веб-уязвимости. Если нужно, привлеките на помощь веб-студию, которая пилила сайт.

а за этот поторный тест безопасникам нужно заново платить с нуля? в нашем кп я пункта про ретест не нашел, по умолчанию эта услуга входит в стоимость или нет?

Согласен с этим. Если включена двухфакторная аутентификация, украденный пароль бесполезен.

Если напишете результат здесь, это поможет и другим.

А как вы решили этот вопрос? Процесс, по которому не ведется учет, не улучшается, потому что вы не знаете, что именно улучшать.

Если не зафиксировать это письменно с самого начала, потом возникнут споры. Оставлю как заметку, пригодится.

Ответ выше точно передал суть вопроса. Любой пункт, не зафиксированный письменно, в будущем обе стороны будут помнить по-разному.

Если напишете результат здесь, это поможет и другим.

Появились три разных мнения, они дополняют друг друга. Решения, работающие в малом масштабе, рушатся при росте, я узнал это слишком поздно.

Меры, принятые без инвентаризации, оставляют открытыми двери, о которых вы не знаете. Конечно, если ваша ситуация отличается, всё меняется.

Вы правы.

Абсолютно. Если добавить к этому: Больше всего времени у нас уходило на то, что было непонятно, кто принимает решения.

Если напишете результат здесь, это поможет и другим.

Дешевый на вид путь обычно выходит дороже в итоге. Большинство инцидентов начинается не с уязвимости а с украденного пароля.

Конечно, если ваша ситуация отличается всё меняется.

Я сталкивался с тем же.

Обсуждение размылось, давайте структурируем. Все, кто торопится с что такое отчет по пентесту, спотыкаются на одном и том же.

Безопасность не бывает абсолютной; цель — сделать атаку нецелесообразной. На этом всё, извините, если затянул.

Вы правы. Если включена двухфакторная аутентификация, украденный пароль бесполезен.

Если делаете впервые начните с малого масштабирование потом. Надеюсь, это будет полезно.

Если пойдете этим путем, сразу решите вот этот вопрос. Доступность резервной копии в той же сети и под той же учетной записью делает ее частью цели атаки.

Я бы пошел этим путем.