quem faz o teste, na prática?
uma pessoa, não um scanner. quem testa tem OSCP (Offensive Security Certified Professional, OffSec) and CPTS (Certified Penetration Testing Specialist, Hack The Box) e percorre o escopo assinado à mão. abuso de lógica de negócio e falhas encadeadas são o que nenhuma ferramenta automática encontra, e é de onde sai a maioria das invasões de verdade.
scanner é uma boa primeira passada, e a gente roda também. mas não é o teste. ferramenta automática compara o seu site com uma lista de padrões conhecidos e para por aí. as falhas que custam caro aparecem quando alguém lê como a sua aplicação deveria funcionar e depois tenta fazer ela funcionar de outro jeito. essa parte é trabalho de gente, e é por ela que você paga.
o que quem testa faz com o escopo
quem testa percorre o escopo assinado à mão, nas áreas listadas na página de segurança: autenticação e sessões, controle de acesso entre usuários e perfis, entrada de dados e arquivos, configuração de nuvem e hospedagem, segredos e painéis expostos, e as suas dependências. duas categorias só uma pessoa encontra:
- abuso de lógica de negócio: usar a aplicação exatamente como foi feita, numa ordem ou combinação que ninguém previu. ferramenta nenhuma sabe o que o seu fluxo de fatura deveria fazer.
- falhas encadeadas: três problemas de severidade baixa que, juntos, viram um problema sério. o scanner reporta três baixos e segue em frente.
por que a gente diz quais são as certificações
"profissional certificado", sozinho, não quer dizer nada. por isso a gente fala o nome: OSCP, da offsec, e CPTS, da hack the box. as duas são públicas, então você pode conferir o que cada uma exige em vez de acreditar na nossa palavra.
o relatório é escrito pela mesma pessoa que fez o teste: cada achado com o passo a passo pra reproduzir, a evidência, a severidade e o motivo, e a correção específica. se quiser ver a diferença entre uma checklist e um teste, a nossa checklist de pré-lançamento é a checklist, e diz isso no final.