Первичный отчет по пентесту: каким должен быть качественный отчет и на что обратить внимание?

Обращайте внимание на шкалу CVSS для каждой уязвимости. Простых меток «Критическая» или «Средняя» недостаточно. Должен быть указан вектор и приложены тела запросов либо PoC-команды, подтверждающие реальную эксплуатацию. Без этого разработчикам придется латать дыры вслепую.

Когда получите отчет, проверьте три вещи: 1) Не вышли ли за рамки Scope и протестировали ли все поддомены по договору? 2) Можно ли пошагово воспроизвести каждую уязвимость? 3) Написаны ли рекомендации по устранению именно под вашу ОС и используемые библиотеки?

edit: выше написал неправильно, извините.

В Париже за первый тест мы заплатили 5 200 евро и получили 48 уязвимостей. На поверку 22 из них оказались банальными баннерами версий на сервере. Потребовали переделать, в итоге сосредоточились на оставшихся 6 критических. Важен не объем отчета, а количество отфильтрованных реальных угроз.

После получения отчета соберите созвон с разработчиком. Попробуйте лично воспроизвести две самые критичные уязвимости в dev-среде по шагам из отчета. Если разработчик не может повторить ошибку по инструкции отчет недоработан — запрашивайте у аудиторов живую демонстрацию.

мы в первом отчете увидели кучу страниц с варнингами по ssl и паниковать начали а оказалось это сканер автоматом напечатал... пентестер вручную даже инъекции в api не проверял. если нет скриншотов и пейлоадов — сразу заворачивайте такой отчет.

Примечание: пишу на основе своего опыта, у других может быть иначе.

Каким был формат тестирования по договору: black-box или white-box? Если вы давали специалисту исходный код или тестовые аккаунты, отчет должен содержать глубокие логические уязвимости разграничения доступа. Формат аудита напрямую определяет требования к отчету.

Многие компании кладут отчет по пентесту на полку сразу после получения. Не менее важна возможность повторной проверки (re-test) после исправления багов. Если повторный тест не входит в стоимость, отчет превращается просто в дорогой документ, фиксирующий прошлое.

Прочитал этот ответ и выдохнул: значит, проблема не только у меня. Автоматический отчет о сканировании и пентест — это не одно и то же.

Интересно, есть ли те, кто делает иначе.

Появились три разных мнения, они дополняют друг друга. Автоматический отчет о сканировании и пентест — это не одно и то же.

Надеюсь, это будет полезно.

Если пойдете этим путем, сразу решите вот этот вопрос. Не стесняйтесь спрашивать, молчание всегда обходится дороже.

Удачи.

Эта тема в архиве.

взял на заметку спасибо.

Вы правы, я сам проходил через это. То что делают все, не значит что это правильно.

Исправьте, если я ошибаюсь.

как думаете, это сработает в люббом масштабе? если на один вопрос вы получаете три разных ответа, вопрос задан неправильно.

ответ сильно зависит от отрасли универсального правила нет но удачи.

Вы правы.

При выполнении этого часто совершают одну ошибку. Если включена двухфакторная аутентификация, украденный пароль бесполезен.

Если путь уведомления длинный, уведомление не приходит; а не пришедшее уведомление — это поздно обнаруженный инцидент. Пишите если есть вопросы отвечу по мере возможности.

Очень актуальная тема.

согласен, хочу даже особо подчеркнуть но процесс по которому не ведется учет, не улучшается потому что вы не знаете что именно улучшать.

ответ сильно зависит от отрасли, универсального правила нет... это мое мнение не утверджаю что оно единственно верное.