Пентест веб-приложения: прогнать через сканеры самим или нанимать спецов?

Главный тупик автосканеров — контекст и манипуляции с параметрами. Сканер не поймет, что в пошаговой оплате можно перепрыгнуть промежуточный этап и завершить заказ на халяву. Пусть ваши разрабы запустят сканы, чтобы отловить SQL-инъекции и XSS, но проверку прав и ролей всё равно придется делать вручную.

В прошлом году втроем наступили на те же грабли. Запустили популярный open-source сканер, он выкатил простыню из 184 уязвимостей. Наш сеньор убил две недели на разбор, и оказалось, что 168 штук — чистые ложные срабатывания. По факту на зарплату разработчика за эти две недели слили больше, чем отдали бы сторонним безопасникам.

Когда заказываете услугу на стороне тоже будьте осторожны. Многие псевдокомпании по безопасности которые говорят, что проведут тест за 2.000-3.000 долларов просто запускают тот же open source сканер, который вы и сами поставите, вставляют его вывод в свой шаблон с логотипом и сдают как отчёт. Если берёте услугу обязательно пропишите в договоре, что ручное тестирование бизнес-логики включено.

исправление: ошибся в цифре, было чуть меньше.

Идите по шагам: сначала встройте open source инструменты анализа кода в свой пайплайн разработки. Это даёт чистоту за нулевую стоимость. Потом честно поговорите с клиентом и спросите, какой минимальный стандарт сертификации или аккредитации они примут. Иногда ограничение скоупа только внешней веб-поверхностью напрямую снижает цену предложения вдвое.

Хочу кое-что спросить: если мы поставим перед веб-приложением качественный облачный файрвол и будем фильтровать трафик разве это полностью не уберёт необходимость в таких пентестах? Клиенты что не считают это достаточным?

Файрвол — это охранник на входе, а пентест — это инженер, который проверяет архитектурные дефекты здания. Файрвол блокирует известные паттерны атак, но он не знает про ошибки проектирования и прав доступа внутри самого приложения. Ваши клиенты хотят видеть, насколько безопасен код за стеной, поэтому файрвол не заменяет отчёт.

Мы тоже испытали этот шок на первой корпоративной продаже, когда пришло предложение на 6.000 долларов у нас руки-ноги затряслись. Честно сказали клиенту, что мы ранний стартап сузили скоуп до критичных эндпоинтов и договорились с независимым фрилансером по безопасности за 2.500 долларов получили одобренный отчёт. в общем советую не терять связь.

свой отчёт корпоративные закупщики точно не примут, к сожалению. весь смысл того отчёта как раз в том что независимая организация ставит печать. честно инструменты используйте только для чистоты иначе жалко вашего времени.

Если смотреть на процесс в целом картина меняется. Ответ сильно зависит от отрасли, универсального правила нет.

Конечно если ваша ситуация отличается всё меняется.

Согласен с этим. Главное не цифра а то, на основе чего она получена.

Это мое мнение, не утверждаю, что оно единственно верное.

А как вы решили этот вопрос? Больше всего времени у нас уходило на то что было непонятно, кто принимает решения.

Если напишете результат здесь, это поможет и другим.

Позвольте подвести итог сказанному выше. То, что делают все, не значит, что это правильно.

Хочу предупредить. Время обнаружения проблемы напрямую определяет ее стоимость.

Исправьте, если я ошибаюсь.

Я сталкивался с тем же.

У нас так же.

Слежу за темой. Автоматический отчет о сканировании и пентест — это не одно и то же.

Мне тоже интересно. Если на один вопрос вы получаете три разных ответа, вопрос задан неправильно.

Удачи.

Я маленький бизнес, расскажу со своей стороны. Если не зафиксировать это письменно с самого начала, потом возникнут споры.