Купить инструменты для пентеста и проверить всё самим или это грубая ошибка?

Разделяйте два понятия: 1) Сканирование уязвимостей — автоматический процесс, софт ищет типовые косяки по базам. 2) Пентест — это когда живой человек руками и головой проверяет, можно ли реально слить данные через найденную дыру. Клиент ждёт именно второго, а софтом вы закроете только первое.

Если решите сканировать автоматикой сами, будьте аккуратны: такие утилиты без разбора спамят данными во все веб-формы. Запустите на проде — забьете базу сотнями мусорных записей, а если прикручена оплата или SMS, они сделают тысячи вызовов подряд и за пару минут сожгут вам все кредиты на API. Ни в коем случае не гоняйте тесты на живом сервере.

Мы два года назад наступили на те же грабли. Отправили клиенту-банку отчёт, который нагенерил купленный нами сканер. Их безопасники нас тут же разнесли: оказалось, что 14 критических уязвимостей в отчёте были ложными срабатываниями, а банальную дыру в проверке прав доступа сканер вообще проглядел. Репутационные потери обошлись куда дороже сэкономленных 4.000 GBP.

А вы уверены что контора за 5.500 GBP реально будет тестировать руками? Куча агентств как раз запускает те самые готовые тулзы, выгружает логи в красивый брендированный шаблон и выставляет счёт за пентест. Обязательно уточните у них скоуп, методологию и сколько часов ручного анализа заложено в отчёт.

Пункты об информационной безопасности в корпоративных договорах обычно прямо требуют участия аудиторов с независимой аккредитацией. Внутренняя оценка силами своих же сотрудников не снимет с вас юридической ответственности в случае утечки данных, да ещё и подведёт под штрафы за нарушение договора.

Загляните в опросник по безопасности от клиента. Если там чётко прописан независимый сторонний пентест — не тратьте время на свои утилиты. Лучше поторгуйтесь с подрядчиком: ограничьте список IP и доменов в скоупе и попробуйте сбить цену тысяч до 4.000 GBP.

Разрабу крылья не подрезайте просто объясните что этот софт нужен для подстраховки в процессе разработки. Если сами заранее прогоните сканер и закроете очевидные дыры до внешнего аудита, итоговый отчёт подрядчика будет чистым — покажете клиенту куда более солидный результат.

edit: писал с телефона, извините за опечатки.

сохранил.

Не могу полностью с этим согласиться. Непроверенная резервная копия — не резервная копия.

Главное не цифра, а то, на основе чего она получена. Надеюсь, это будет полезно.

Не знал об этом. Люди защищают не процесс, а привычку. Сопротивление идет оттуда.

Удачи.

полностью согласен но ну процесс по которому не ведется учет, не улучшается, потому что вы не знаете что именно улучшать.

надеюсь, это будет полезно.

Ответ выше точно передал суть вопроса. Начните с небольшого эксперимента, не привязывайте всё сразу.

Проверено опытом.

В прошлом году мы столкнулись практически с тем же самым. Если включена двухфакторная аутентификация, украденный пароль бесполезен.

Когда пытаешься изменить всё сразу ничего не приживается. Проверено опытом.

Хочу предупредить. Пытаться сделать это в одиночку — самый дорогой путь.

Автоматический отчет о сканировании и пентест — это не одно и то же. Конечно, если ваша ситуация отличается, всё меняется.

Слежу за темой.

В прошлом году мы столкнулись практически с тем же самым. Забытые тестовые среды становятся входом в систему чаще, чем продакшн.

Это мое мнение, не утверждаю, что оно единственно верное.

Мне тоже интересно.