Польза пентеста или Напугали бабу туфлями на высоком каблуке

Производители пива считают, что населению следует пить больше пива, а исследования, проводимые производителями DVD, неоспоримо доказывают, что ему нужно покупать больше DVD. Не чужды трогательной заботы о человечестве и производители пентестов.

Если мне понадобится дать определение пентеста, в нем будет присутствовать инсайдер. Например, пентест – это когда наемный внешний нарушитель старается изобразить внутреннего. Вне всякого сомнения, для исполнителя данное действо являет собой интересный спорт, сродный постройке корабля в бутылке и переборке двигателя через выхлопную трубу, но потребительскую ценность лучше определять потребителям.

А тут ситуация простая. С точки зрения оценки прочности периметровых средств, это умеренно познавательно. Дальше зависит от осведомленности безопасника о внутренних угрозах. Обычно он о них осведомлен более чем, т.к. несколько тысяч пользователей иногда вводят неверные данные, несколько десятков админов иногда ухитряются поменять и забыть рутовый пароль, несколько сотен хардов иногда делают вид, что на них ничего не клали и т.п.

Во многих случаях вообще достаточно уметь бороться с последствиями и наплевать, откуда они возьмутся. Допустимый простой системы, согласованный с владельцем поддерживаемого ею бизнес-процесса, составляет 4 часа, восстановление из бекапа занимает 2 часа и практикуется с раздражающей регулярностью (спасибо юзерам и производителю ПО) - все в шоколаде.
Мне все равно, каким именно макаром можно вскрыть мой автомобиль. Я знаю, что это возможно, поэтому он застрахован (или криминально непривлекателен), а в салоне не оставляются ценности. Нужен ли мне натурный тест, чтобы принять это решение?

И за умеренную познавательность тоже отвечу. Состояние периметровых средств несет на себе печать внутренних опять же процессов. Если положение дел с патч-менеджментом, аксес-контролем, проверкой логов и т.п. безопаснику известно, состояние средства N в момент M он представляет. Вот точность и интересно проверить.

Так что в нормальном случае пентесты покупаются не для себя, а для демонстрации своей правоты кому-то третьему в споре с кем-то вторым. Атипичные случаи оставим для рекламных презентаций пентестеров.

Продолжение темы