Получили отчет о пентесте на 40 страниц — есть у кого пример для сравнения?

Если в отчете нет доказательства эксплуатации (PoC), значит, тест тупо не проводился. Пишут, что нашли SQL-инъекцию? Обязаны по шагам показать, как вытащили тестовые безвредные данные из БД, а не просто приложить алерт из сканера и умыть руки.

Мы пару лет назад точно так же попали на 2.500 фунтов. Безопасник со стороны клиента завернул отчет с первого взгляда — сразу сказал, что это обычный скан уязвимостей, а никакой не пентест. Пришлось нанимать других спецов и переделывать.

3.500 фунтов для британского рынка — это самый низ планки для нормального ручного тестирования. За эти деньги обычно как раз просто нажимают кнопку в сканере и выгружают отчет. Настоящий пентест требует минимум 3–5 человеко-дней ручной работы, отсюда и ценник.

Заворачивайте отчет обратно исполнителю и требуйте две вещи: во-первых, executive summary на одну страницу по рискам для руководства во-вторых — четкие шаги воспроизведения, чтобы ваши разработчики могли проверить фиксы. Если в договоре прописан именно ручной пентест, они обязаны это доделать.

А что у вас в договоре буквально написано? Сканирование уязвимостей (vulnerability assessment) или именно пентест (penetration testing)? Их постоянно путают, и если там написано первое, предъявить претензии будет сложно.

на объем вообще не ведитесь. 15 страниц четкого написанного руками отчета строго по делу стоят в дессять раз больше, чем 80 страниц автовыгрузки из сканера.

Настоятельно рекомендую не отправлять этот отчет корпоративному клиенту как есть, а сначала потребовать доработки от подрядчика. Опытный аудитор моментально распознает автоскан, и это сильно ударит по вашей репутации.

исправление: ошибся в цифре, было чуть меньше.

Чтобы быстро проверить полученный отчет, гляньте три вещи: 1) Отфильтрованы ли false positives или туда запихнули вообще каждый чих сканера? 2) Адаптирована ли критичность уязвимостей под ваш бизнес-контекст? 3) Поймет ли ваш разраб, что конкретно нужно поправить в коде, когда это прочитает?

Очень актуальная тема.

Вы правы.

редко встретишь текст с такой ясностью изложения.

Я маленький бизнес, расскажу со своей стороны. Ответ сильно зависит от отрасли, универсального правила нет.

Оставлю как заметку пригодится.

Спасибо, очень помогло. Большинство инцидентов начинается не с уязвимости, а с украденного пароля.

Это мое мнение, не утверждаю, что оно единственно верное.

В целом верно, но один момент упущен. Больше всего времени у нас уходило на то, что было непонятно, кто принимает решения.

Все, кто торопится с отчет о пентесте, спотыкаются на одном и том же.

В теории верно, но на практике так не работает. Время обнаружения проблемы напрямую определяет ее стоимость.

Конечно, если ваша ситуация отличается, всё меняется.

Согласен.

После того случая мой взгляд на вещи изменился. Если ругать за ложные тревоги, никто больше не будет присылать уведомления.

Я тоже об этом думал. Автоматический отчет о сканировании и пентест — это не одно и то же.