Один прислал КП на сканирование уязвимостей, другой на пентест. В чем разница и что нужно?

Простая аналогия: скан уязвимостей — это когда робот идет по улице и через бинокль смотрит на окна здания. Иногда он может принять обычный блик за открытую форточку. Пентест — это когда опытный взломщик физически пробует отжать раму и залезть внутрь. Корпораты всегда требуют отчет взломщика.

Мы наступили на эти грабли два года назад. Под сделку на 50.000 долларов отправили отчет автосканера за 1.200 долларов. CISO клиента завернул его за 10 минут со словами: «Это не пентест, а сырой отчет сканера», и сдвинул сделку на два месяца. Пришлось срочно заказывать нормальный аудит за 6.000 долларов.

Откройте их security questionnaire и прочтите формулировку дословно. Если там написано «penetration test report performed by an independent third party» вариант за 1.500 долларов отпадает сразу. Отправлять им сканирование — только тратить чужое и свое время.

Контора со сканом за 1.500 долларов просто натравит на ваш сервер опенсорсный инструмент и натянет свой логотип на сгенерированный PDF. Вы и сами это можете за пару часов сделать платить за такое точно не стоит.

В энтерпрайзе оценка рисков цепочки поставок жестко регламентирована. В вашем HR-софте будут лежать персданные сотрудников клиента, поэтому юридический и комплаенс-отделы примут в качестве подтверждения только executive summary и отчет об устранении по итогам ручного пентеста.

торгуйтесь с конторой за 6.500 баксов, скинут где-то до 5.500 потом но обязательно берите пентест, а то дугое перед клиентом выглядит слишком по-любительски.

P.S.: вопрос уже задавали ниже, ответ во втором сообщении.

Когда будете говорить со второй фирмой, обязательно впишите в договор пункт про повторное тестирование. После теста вам дадут список уязвимостей, вы их закроете и получите чистый финальный отчёт. Именно этот чистый отчёт и нужно показывать клиенту.

В этом пункте я с вами не согласен. Чем сложнее отменить решение, тем медленнее его принимайте.

Оставлю как заметку пригодится.

согласен.

Частично согласен, частично нет. Чем сложнее отменить решение, тем медленнее его принимайте.

Конечно, если ваша ситуация отличается, всё меняется.

У меня нет опыта в сканирование уязвимостей пентест, поэтому и спрашиваю. Все, кто торопится с сканирование уязвимостей пентест, спотыкаются на одном и том же.

Я бы пошел этим путем.

У этого подхода есть цена, о которой молчат. Если включена двухфакторная аутентификация, украденный пароль бесполезен.

Две недели ведения заметок дают лучший результат чем шестимесячные прогнозы.

Не могли бы вы это пояснить? Главное не цифра, а то на основе чего она получена.

Меры, принятые без инвентаризации, оставляют открытыми двери, о которых вы не знаете. Исправьте, если я ошибаюсь.

По теме сканирование уязвимостей пентест так категорично говорить сложно. Без измерений мы всегда приходим к одному и тому же.

Решения, работающие в малом масштабе, рушатся при росте, я узнал это слишком поздно... Я бы пошел этим путем.

Спасибо, это именно то, что я искал. Время обнаружения проблемы напрямую определяет ее стоимость.

На этом всё, извините, если затянул.

Спасибо за ваш пост.

Я маленький бизнес расскажу со своей стороны. Доступность резервной копии в той же сети и под той же учетной записью делает ее частью цели атаки.

Удачи.

Согласен.