Нам предложили стандартный пентест по фикс-прайсу: чем он вообще отличается от комплексного?

Главная беда стандартных пакетов в том, что они в упор не видят уязвимости BOLA (Broken Object Level Authorization) — поломанный контроль доступа на уровне объектов. Автосканеры просто шлют в HTTP-запросы случайный мусор, но робот никогда не догадается запросить накладную компании А, подставив токен компании Б. Такие вещи находятся только руками.

Задайте обоим подрядчикам три конкретных вопроса письменно: 1) Сколько часов именно ручной работы заложено на эксплуатацию уязвимостей? 2) Входят ли в скоуп эндпоинты API и мобильные интерфейсы? 3) Включен ли бесплатный ретест после того, как мы закроем найденные баги? По ответам сразу всё станет ясно.

Мы в прошлом году в Джидде под похожую сделку взяли такой «стандартный» пакет за 14.000 SAR. Выдали отчет на 18 страниц, из которых 15 — общая вода и простыня из автоматического сканера. Безопасники заказчика нас с этим отчетом сразу развернули, и в итоге пришлось выложить еще 32.000 SAR за нормальный аудит.

а вы у конторы с дешевым ценником скоуп вообще запрашивали? они скорее всего просто вколотят диапазон IP в сканер, запустят его, а через три дня выкатят PDF-ку потом ну если у безопасника заказчика есть хоть капля мозгов этот отчет полетит в мусорку.

стандартные тесты это обычно так чисто кнопочки потыкать. ну если исходники или доку по api не просили то стопудово просто автосканером прогонят и все вручную за три дня проверить нереально.

Заранее отправьте документ по согласованию скоупа (scoping document) руководителю по информационной безопасности со стороны клиента. И пока не получите письменного подтверждения, какой именно тип тестирования их устроит, ни одной компании ничего не платите.

А как в вашем договоре на оказание услуг и NDA с клиентом прописан скоуп пентеста? Черный ящик нужен или белый? И есть ли в вашей системе прием платежей или хранение чувствительных данных пользователей?

Мы с первым B2B-клиентом решили сэкономить и взяли готовый пакетный тест, потом еще радовались, что система чистая. А через два месяца бухгалтер клиента просто подменил параметр в URL и скачал транспортные накладные компании-конкурента. В тот день мы поняли, что стандартный тест — это чистой воды иллюзия.

Буду рад, если напишете о результате. Не стесняйтесь спрашивать, молчание всегда обходится дороже.

Процесс, по которому не ведется учет, не улучшается, потому что вы не знаете, что именно улучшать. Я бы пошел этим путем.

У меня будет вопрос, не хочу уходить от темы, но... Прежде чем принимать решение, посмотрите, какие данные у вас есть.

Ответ сильно зависит от отрасли, универсального правила нет. Надеюсь, это будет полезно.

согласен.

Хорошо, что вы создали эту тему.

На что обратить внимание при выполнении этого. Когда пытаешься изменить всё сразу, ничего не приживается.

Оставлю как заметку, пригодится.

Верно. Начните с небольшого эксперимента не привязывайте всё сразу.

Удачи.

Я столкнулся с тем же два года назад. Непроверенная резервная копия — не резервная копия.

Главное не цифра, а то, на основе чего она получена.

Хочу задать вопрос... ну две недели ведения заметок дают лучший результат чем шестимесячные прогнозы.

Оставлю как заметку, пригодится.

Слежу за темой.

Не могли бы вы это пояснить? Если включена двухфакторная аутентификация, украденный пароль бесполезен.

Пишите, если есть вопросы, отвечу по мере возможности.