Ein jährlicher Penetrationstest beschreibt das System so, wie es in zwei Wochen des Jahres war. Ein Produkt, das jede Woche ausgeliefert wird, ist schon ein anderes System, wenn der Bericht gelesen wird. Schwachstellen, die mit dem folgenden Release hinzukommen, warten auf den nächsten Test oder darauf, dass jemand anderes sie findet.
Kontinuierliche Tests folgen dem Release-Zyklus. Dieselben Spezialisten bleiben bei Ihrem Produkt, lernen, wie es gebaut ist, und testen, was sich geändert hat, sobald es sich ändert. Befunde kommen in Ihrem Tracker an, sobald sie bestätigt sind, nicht am Ende eines Berichtszeitraums. Zwischen den Releases überwacht Automatisierung den Perimeter; jedes Ergebnis, das sie liefert, prüft ein Mensch, bevor es Sie erreicht.
01Umfang
Was wir testen
Tests von Releases und wesentlichen Änderungen an Anwendungen und APIs
Geplante erneute Prüfung des externen Perimeters
Prüfung, ob neu veröffentlichte Schwachstellen Ihren Technologie-Stack betreffen
Nachtest von Behebungen auf Abruf
Regelmäßige vertiefte Prüfung einer ausgewählten Komponente
Bedrohungsmodellierung geplanter Funktionen, bevor sie gebaut werden
Quartalsweise Zusammenfassung mit Trends und wiederkehrenden Grundursachen
02Vorgehen
Wie die Arbeit abläuft
01
Ausgangsbasis
Das Projekt beginnt mit einer vollständigen Prüfung des Prüfumfangs. Diese Prüfung stellt den Zustand des Systems fest und baut das Wissen des Teams auf.
02
Erfassung der Änderungen
Sie informieren uns über Releases oder geben uns Lesezugriff auf das Änderungsprotokoll. Wir wählen die Änderungen aus, die die Sicherheit betreffen, und planen die Tests.
03
Tests
Änderungen werden von Hand getestet. Zwischen den Releases überwacht eine automatisierte Erfassung den Perimeter, und ein Spezialist prüft, was sie meldet.
04
Übergabe
Ein bestätigter Befund wird zu einem Ticket in Ihrem Tracker, mit Nachweisen und einer Empfehlung zur Behebung. Der Nachtest wird durch den Status des Tickets ausgelöst.
Wahrscheinlichkeit, dass eine bekannte Schwachstelle ausgenutzt wird; dient der Priorisierung.
FIRST
06Fragen
Fragen zu dieser Leistung
Ist das ein automatisierter Scanner im Abonnement?
Nein. Automatisierung dient der Erfassung und Regressionstests. Änderungen werden manuell getestet, und nichts wird Ihnen gemeldet, was ein Spezialist nicht geprüft hat.
Ersetzen kontinuierliche Tests den jährlichen Penetrationstest?
Kontinuierliche Tests schließen ihn ein. Die Ausgangsprüfung und die regelmäßigen vertieften Prüfungen liefern den Bericht, den Regelwerke wie PCI DSS verlangen, und das Bestätigungsschreiben nennt den abgedeckten Zeitraum.
Wie wird der Arbeitsumfang festgelegt?
Als monatliche Zahl von Testtagen, im Voraus vereinbart. Tage, die in einem ruhigen Monat nicht genutzt werden, lassen sich innerhalb des Quartals übertragen.