Пентест выявил 40 уязвимостей — обязательно ли покупать специальный софт для контроля их устранения?

Шлите их с этой лицензией лесом. Пусть цифра 40 вас не пугает: сначала берите только критические и высокие. Скорее всего, разрабы закроют 80% всех рисков за неделю непыльной работы. А низкоуровневую мелочь просто раскидайте по следующим спринтам по паре штук, и дело с концом.

У нас штат 20 человек, в прошлом году получили отчет на 38 уязвимостей. Нам аудиторы тоже пытались впарить платформу, мы отказались. Просто сделали отдельный тег в нашей тикет-системе. За 45 дней пофиксили 34 штуки, а оставшиеся 4 низких оформили как принятый риск. Спокойно прошли аудит без копейки лишних трат.

То, что проводившая тест компания сразу же предлагает тулзу за 6.000 долларов — классический апсейл. Скорее всего, они партнеры или реселлеры этого софта и сидят на проценте с продаж. Для компании из 14 человек спускать бюджет на такой софт — чистый слив денег.

При переносе в текущую систему обратите внимание на технический нюанс: не пишите разработчикам просто «закрой уязвимость X». Обязательно добавляйте в тикет балл уязвимости из отчета, затронутый URL или версию библиотеки и шаги для воспроизведения. Иначе разраб скажет «я всё закрыл», а на деле просто переименует параметр, оставив саму дыру открытой.

А у вас в договоре на пентест есть пункт про «re-test» (повторный тест)? Если да то какие там сроки? Обычно закладывают 30 или 60 дней на бесплатную проверку фиксов. Если такой пункт есть, то всю валидацию, которую делает этот инструмент, вам и так сделает консультант в рамках договора.

мы вообще решили вопрос обычной табличкой. колонки: название дыры уровень ответственный разраб и статус. раз в неделю созванивались на 15 минут сверить прогресс за два месяца всё закрыли. в общем нафиг надо такие деньги отдавать.

Ни клиенты, ни регуляторы не требуют от вас использования специализированного трекера уязвимостей. Аудиторам важно только одно: чтобы был задокументированный процесс устранения найденных уязвимостей и логи технической верификации фиксов. Истории ваших обычных тикетов для этого более чем достаточно.

Общий вывод предельно ясен: 1) Софт за 6.000 долларов не брать, 2) Завести задачи с тегом «безопасность» в текущем таск-трекере, 3) Проверить в договоре пункт о бесплатном ретесте и закрыть им валидацию. Дополнительный софт только добавит лишней головной боли.

Давайте разделим понятия, их путают. Забытые тестовые среды становятся входом в систему чаще, чем продакшн.

Конечно, если ваша ситуация отличается всё меняется.

Да, по теме инструменты устранения уязвимостей ситуация именно такая. Автоматический отчет о сканировании и пентест — это не одно и то же.

Буду рад, если напишете о результате. Процесс, по которому не ведется учет, не улучшается, потому что вы не знаете, что именно улучшать.

Исправьте, если я ошибаюсь.

Хочу предупредить. Автоматический отчет о сканировании и пентест — это не одно и то же.

Начните с небольшого эксперимента не привязывайте всё сразу. Оставлю как заметку, пригодится.

Редко встретишь текст с такой ясностью изложения. Большая часть потерь времени копится на задачах, ожидающих согласования.

Сведу тему в кучу, так как ответов было несколько разных. Спешка в решениях оборачивается исправлениями через полгода.

То, что делают все, не значит, что это правильно. Исправьте, если я ошибаюсь.

Отличная работа. Если не зафиксировать это письменно с самого начала, потом возникнут споры.

Если напишете результат здесь, это поможет и другим.

Обсуждение размылось, давайте структурируем. Решения, работающие в малом масштабе, рушатся при росте, я узнал это слишком поздно.

Если на один вопрос вы получаете три разных ответа, вопрос задан неправильно. Интересно, есть ли те, кто делает иначе.

У меня будет вопрос, не хочу уходить от темы, но... Любой пункт, не зафиксированный письменно, в будущем обе стороны будут помнить по-разному.

Главное не цифра, а то, на основе чего она получена. Пишите, если есть вопросы, отвечу по мере возможности.

У меня было наоборот, поэтому и пишу. Если на один вопрос вы получаете три разных ответа, вопрос задан неправильно.

Я бы пошел этим путем.