Подрядчик по разработке предлагает статический анализ кода вместо пентеста, заменит ли это пентест?

Статический анализ смотрит только на текст написанного вами кода. Неправильно настроенный порт на вашем сервере, необновлённое ПО веб-сервера или оставленное открытым наружу разрешение на доступ в облачной базе данных не содержатся в коде. Эти уязвимости ловятся только пентестом, когда приложение работает в живом окружении.

Мы совершили ту же ошибку на нашей e-commerce инфраструктуре в Казани. Подрядчик выдал отчёт статического анализа, мы его предоставили клиенту. Проверяющая команда клиента за первые два часа обнаружила доступ в админ-панель без пароля. Проект задержался на два месяца, вдобавок мы в спешке заплатили 400 000 рублей и наняли стороннюю команду пентеста.

Что именно написано в тексте технического задания в вашем договоре с клиентом? Если там прямо указано «пентест» или «независимый аудит безопасности», то когда вы принесёте отчёт статического анализа юридический или проверяющий отдел сразу его отклонит. Вы проверили точную формулировку в договоре?

Ключевые моменты, различающие эти два метода: 1) Статический анализ делается сканированием текста без запуска кода, пентест применяется динамически на живой системе. 2) Статические инструменты не понимают уязвимости бизнес-логики, пентест-специалист атакует систему человеческим разумом. 3) Проверки клиента считают официальным доказательством только отчёт независимого пентеста.

Это предложение подрядчика показалось мне неискренним. Статический анализ кода они получают, загрузив код в открытый или стандартный сканер с рынка и получив автоматический отчёт за пару часов. Просить 120 000 рублей за готовый отчёт, который получаешь нажатием одной кнопки, — это слишком дорого.

P.S.: вопрос уже задавали ниже, ответ во втором сообщении.

Напишите напрямую на почту техническому специалисту заказчика. Спросите письменно, примут ли они отчёт о статическом анализе исходного кода. С вероятностью девяносто процентов они скажут что нужен пентест. Так вы спасётесь от того, чтобы зря отдать подрядчику 120 000 рублей.

Разработчики обычно избегают независимого пентеста потому что приходит другая техническая команда и с документами докладывает начальству об их работе и небрежностях в настройке серверов. По-моему они думают не о бюджете, а о том, чтобы их косяки не всплыли.

у нас в проекте тоже делали статическое сканирование вылезли страницы ненужных предупреждений а реальную дыру в правах доступа оно не увидело потом корпоративный заказчик тчно не примет не тратьте деньги зря.

Посмотрю с другой стороны я на стороне поставщика... кстати первые три месяца все идет хорошо, проблемы всплывают на четвертом.

Вопрос будет немного наивным, извините заранее. Автоматический отчет о сканировании и пентест — это не одно и то же.

Первые три месяца все идет хорошо, проблемы всплывают на четвертом. Удачи.

Обсуждение размылось, давайте структурируем. Не стесняйтесь спрашивать, молчание всегда обходится дороже.

После того случая мой взгляд на вещи изменился. Первые три месяца все идет хорошо, проблемы всплывают на четвертом.

Автоматический отчет о сканировании и пентест — это не одно и то же. Это мое мнение, не утверждаю, что оно единственно верное.

Поделюсь своим опытом. Процесс, по которому не ведется учет, не улучшается, потому что вы не знаете, что именно улучшать.

На этом всё, извините, если затянул.

Мои сомнения развеялись, спасибо. Главное не цифра, а то, на основе чего она получена.

Удачи.

Я бы не торопился. Главное не цифра, а то, на основе чего она получена.

Пытаться сделать это в одиночку — самый дорогой путь. Оставлю как заметку, пригодится.

Согласен с этим. Если разрешение и объем тестирования не зафиксированы письменно, тест не начинать.

Ошибка, сделанная на стороне статический анализ кода, обычно исправима, но дорого. Конечно, если ваша ситуация отличается, всё меняется.

Частично согласен, частично нет. Прежде чем принимать решение, посмотрите, какие данные у вас есть.

То, что делают все, не значит, что это правильно. Я бы пошел этим путем.

Согласен с этим. Прежде чем принимать решение посмотрите какие данные у вас есть.

На этом всё, извините если затянул.