Pentest a audit

Ako sa pripraviť na pentest, aby ste nepreplatili

Päť vecí, ktoré sa robia pred štartom a šetria dni práce.

3 min čítania

Pentest sa platí za čas. Čím presnejšie sú vymedzené hranice a čím rýchlejšie dostaneme prístupy, tým viac hodín ide do hľadania, nie do organizácie.

Vymedzte rozsah: ktoré domény, aplikácie a siete patria dnu a ktoré nie. Produkcia alebo staging.
Pripravte prístupy vopred: testovacie účty rôznych rolí, VPN, dokumentáciu API.
Upozornite tím a hosting, aby nás ochrana nezablokovala v prvej hodine a admini nezačali „hasiť požiar“.
Urobte zálohu a overte, že sa obnoví. Sme opatrní, ale to je pravidlo pre akékoľvek práce.
Určte jednu kontaktnú osobu, ktorá počas prác rýchlo odpovie na otázky.

Čo nie je potrebné

Opravovať všetko známe pred pentestom, „aby nebola hanba“. Naopak: uvidíme skutočný stav a pomôžeme stanoviť priority.

Skener nájde známe diery podľa zoznamu. Pentester rozmýšľa ako útočník a skladá drobnosti do skutočného prieniku.

Každý typ preveruje svoju vrstvu. Spolu dávajú obraz, zvlášť len fragment.