Сканирование уязвимостей и пентест — это одно и то же? И чего нам хватит?

Автосканеры выдают кучу ложных срабатываний. То есть могут пометить как критическую дыру то, что в вашей системе вообще не несет угрозы. Или наоборот — намертво проглядеть обход двухфакторной аутентификации. Разница в цене — это исключительно оплата человеко-часов профильного эксперта.

Согласитесь на сканирование за 12.000 TL — вам просто прогонят сайт через готовый коммерческий сканер и пришлют 80 страниц сырого отчета на английском. Чтобы разобрать эту простыню и отфильтровать мусор, вам все равно придется оплачивать часы разработчика.

Мы два года назад на этом обожглись, взяли сканирование по дешевке. В отчете вылезло 15 критических уязвимостей прогер сел разбираться — оказалось, 12 из них были просто алертами по закрытым портам. Зря запаниковали, деньги на ветер.

Разницу легко понять по двум критериям: 1) Сканирование уязвимостей автоматизировано, идет несколько часов и только фиксирует факты. 2) Пентест длится днями, уязвимости пытаются реально проэксплуатировать, слить базу и предоставить железные доказательства взлома.

В прошлом месяце заказывали пентест сайта. В личном кабинете, где автосканер ничего не нашел, пентестер раскопал ошибку разграничения прав — можно было спокойно смотреть чужие адреса и заказы. Сканер такую дыру в жизни бы не спалил.

Отдать 12.000 TL за зеленую галочку в отчете, конечно, можно. Спать будете спокойно, только если данные кредиток утекут, этот листочек со сканера клиентам уже не покажешь.

Итого: если бюджет совсем поджимает, сканирование — хоть какой-то шаг, но безопасность самописного кода оно не решит. Для нормального интернет-магазина пентест за 55.000 TL — это не траты, а чистая страховка.

Именно так, и при этом об этом мало кто знает. Начните с небольшого эксперимента, не привязывайте всё сразу.

Исправьте, если я ошибаюсь.

Здесь описано ровно то, что пережили мы. Большая часть потерь времени копится на задачах, ожидающих согласования.

Большинство инцидентов начинается не с уязвимости, а с украденного пароля. Это мое мнение, не утверждаю, что оно единственно верное.

Согласен.

Если углубиться в детали: Прежде чем принимать решение, посмотрите, какие данные у вас есть.

Я бы пошел этим путем.

хочу задать вопрос и короче ответ сильно заввисит от отрасли, универсального правила нет.

я бы пошшел этим путем.

Давайте разделим понятия, их путают. Любой пункт, не зафиксированный письменно в будущем обе стороны будут помнить по-разному.

Интересно есть ли те кто делает иначе.

Появились три разных мнения, они дополняют друг друга. Не полагайтесь на одну меру защиты; действуйте слоями.

Не стесняйтесь спрашивать, молчание всегда обходится дороже. Проверено опытом.

Мои сомнения развеялись, спасибо. Если разрешение и объем тестирования не зафиксированы письменно, тест не начинать.

Если напишете результат здесь, это поможет и другим.

В целом верно, но один момент упущен. Пытаться сделать это в одиночку — самый дорогой путь.

У меня нет опыта в что такое сканирование уязвимостей, поэтому и спрашиваю. Процесс, по которому не ведется учет, не улучшается, потому что вы не знаете, что именно улучшать.

Интересно, есть ли те, кто делает иначе.

Редко встретишь текст с такой ясностью изложения.