Попросили пентест — чем он отличается от теста на проникновение и что именно заказывать?

Классический развод, старый как мир: по-турецки — 35 тысяч лир, модным иностранным словом — 65 тысяч лир. Дописали бы еще строчку «ethical hacking» — как раз до 100 тысяч бы дотянули. Бегите от них подальше.

Реальное разделение на рынке — это автоматическое сканирование против ручной эксплуатации (exploitation). Сканер просто проверяет порты и выгружает отчет. При пентесте же этичный хакер раскручивает найденную уязвимость до упора. Вашему заказчику 100% нужен отчет по тесту на проникновение с этапами проверки и повышения привилегий.

А какой стандарт указан в требованиях к аудиту от заказчика? Обычно крупные корпораты требуют пентест с сертификацией TSE или по конкретной методологии. И сколько у вас вообще внешних IP и внутренних серверов под тест?

Мы проходили точно такой же аудит поставщиков. Заказывали пентест на 16 внешних IP и 2 веб-портала. Отдали 38.000 TL, работы шли 4 рабочих дня, выдали технический отчет на 32 страницы с пруфами. Завод все принял без единого вопроса.

Когда будете общаться с новыми подрядчиками, задайте три вопроса: 1) Входит ли ручная верификация, 2) Сколько систем входит в периметр, 3) Делают ли бесплатный ретест после того, как вы закроете уязвимости? Кто четко ответит, с теми и работайте.

это одно и то же бро... просто заумное иностранное слово прикрутили чтоб ценник накрутить, не вздумайте переплачивать. в общем запросите кп еще у пары контор, сами все поймете.

При получении отчета учтите момент: после теста вам дадут от 15 до 30 дней на закрытие уязвимостей. Потом исполнитель должен провести повторную проверку и выдать финальный отчет о том, что бреши устранены. Сразу уточняйте, входит ли этот ретест в стоимость.

а есть риск, что во время теста у нас все упадет или производство встанет? если бухгалтерский сервер зависнет, у нас же выписка e-fatura полноостью парализуется.

Если я правильно понял, вы имеете в виду следующее: Доступность резервной копии в той же сети и под той же учетной записью делает ее частью цели атаки.

Если включена двухфакторная аутентификация украденный пароль бесполезен. Это мое мнение, не утверждаю, что оно единственно верное.

Спасибо, очень помогло. Процесс по которому не ведется учет не улучшается, потому что вы не знаете, что именно улучшать.

Люди защищают не процесс, а привычку. Сопротивление идет оттуда. Это мое мнение, не утверждаю, что оно единственно верное.

Хорошо, что вы создали эту тему.

Согласен. ну меры принятые без инвентаризации, оставляют открытыми двери, о которых вы не знаете.

Оставлю как заметку, пригодится.

Согласен с этим. Процесс, по которому не ведется учет, не улучшается потому что вы не знаете что именно улучшать.

Чем сложнее отменить решение тем медленнее его принимайте. Пишите если есть вопросы отвечу по мере возможности.

Я долго занимался этим вопросом. Большинство инцидентов начинается не с уязвимости, а с украденного пароля.

Эта тема в архиве. Не полагайтесь на одну меру защиты; действуйте слоями.

Пишите, если есть вопросы, отвечу по мере возможности.

Буду отстаивать обратное, не обижайтесь. Если включена двухфакторная аутентификация, украденный пароль бесполезен.

Интересно, есть ли те, кто делает иначе.

По теме что такое пентест так категорично говорить сложно. Если на один вопрос вы получаете три разных ответа, вопрос задан неправильно.

Оставлю как заметку, пригодится.

Сведу тему в кучу, так как ответов было несколько разных. ну если на один вопрос вы получаете три разных ответа вопрос задан неправильно.