Как устроен процесс пентеста и что подготовить компании перед заказом аудита

Для крупного клиента сразу заказывайте grey box веб-приложения. Black box имитирует действия внешнего хакера вслепую, но бизнес-логику и повышение привилегий внутри сервиса он просто не вскроет. И обязательно сделайте аудиторам минимум две учетки с разными ролями.

Прямо сейчас сведите в одну табличку все внешние IP-адреса серверов, ссылку на форму авторизации и количество бэкенд-сервисов. С таким файлом подрядчики сразу поймут объем работ и пришлют нормальные сметы за пару-тройку дней.

На этапе подготовки не забудьте четыре вещи: 1) Снять полные образы всех серверов в бэкап. 2) Добавить IP-адреса аудиторов в белый список фаервола. 3) Ограничить шлюзы отправки почты и SMS на тестовом стенде. 4) Заранее предупредить облачного провайдера о датах сканирования.

если решите гонять тест прямо на проде, аккуратнее с базой. пентестеры начнут фаззить формы всяким мусором и клиентам полетят сотни левых счетов или смсок. почтовые и смс шлюзы на время тестов лучше вообще погасить.

Корпоративный клиент требует тест только веб-приложения или тестирование внутренней локальной сети и фишинг-тесты для сотрудников тоже обязательны? Если в скоупе только ваше SaaS-приложение, бюджета в 70.000 TL хватит с головой.

В прошлом месяце заказывали похожий тест для интеграции в ритейле: 1 веб-приложение и 6 внешних IP. Ушло 5 дней, в черновом отчете выявили 2 критические и 4 средние уязвимости. На устранение дыр и повторный тест (ретест) суммарно ушло 20 дней.

На рынке полно контор которые просто прогоняют автоматический сканер уязвимостей, выкатывают типовой PDF на 100 страниц и называют это пентестом. Когда запрашиваете КП, обязательно фиксируйте в договоре ручную валидацию и проверку бизнес-логики на уязвимости.

Короче говоря, составьте список всех IP и URL, договоритесь о методике серого ящика (grey box), поднимите тестовую среду и сделайте бэкапы, а также обязательно подтвердите, что ретест входит в стоимость. Обычно весь процесс занимает около месяца.

Я тоже об этом думал. Если на один вопрос вы получаете три разных ответа, вопрос задан неправильно.

Интересно, есть ли те, кто делает иначе.

Давайте немного раскрою техническую сторону. Если путь уведомления длинный, уведомление не приходит; а не пришедшее уведомление — это поздно обнаруженный инцидент.

Удачи.

В целом верно но один момент упущен. Ошибка, сделанная на стороне как проводится пентест, обычно исправима но дорого.

Большая часть потерь времени копится на задачах, ожидающих согласования. Проверено опытом.

Взял на заметку, спасибо.

Сохранил.

В прошлом году мы столкнулись практически с тем же самым. Не стесняйтесь спрашивать, молчание всегда обходится дороже.

Оставлю как заметку, пригодится.

Не упустите: Непроверенная резервная копия — не резервная копия.

На этом всё, извините, если затянул.

Я долго занимался этим вопросом. Больше всего времени у нас уходило на то, что было непонятно, кто принимает решения.

Самое упускаемое из вида в теме как проводится пентест: Большая часть потерь времени копится на задачах, ожидающих согласования.

Конечно, если ваша ситуация отличается, всё меняется.

Абсолютно. Если добавить к этому: Время обнаружения проблемы напрямую определяет ее стоимость.

Процесс, по которому не ведется учет, не улучшается, потому что вы не знаете, что именно улучшать.