Kako pogosto penetration testing?

Če ga enkrat letno narediš je to ogromno v primerjavi s provprečjem.

Kdo, ki pa pentesting izvaja ti ga bo pa vsak mesec priporočal :)

Bolj, kot da kar naprej penteste delaš, lahko kakega varnostnega specjalista povprašaš za pregled sprememb na varnostni infrastrukturi že preden jih narediš.
Oziroma pri razvoju lastnega softwara v fazi načrtovanja in pred deployem.

Jaz bi se kar strinjal z Roadkill-om.

Drugače pa je za moje pojme penetracijski test samo sestavni del celovitega varnostnega pregleda.
RESEN varnostni pregled v velikem podjetju lahko traja tudi tri mesece, v malem pa vse od treh dni pa do enega meseca (nikjer ni rečeno, da malo podjetje ne moreimeti celo kopico strežnikov in servisov).

Če ti nekdo ponuja penetracijski test, ki ga opravi v pol ure, je to bolj šalabajzerstvo, kot pa karkoli resnega. Resna testiranja se prično z preučevanjem vašega omrežja, da se naredi nekakšno inventuro, kaj vse bi bilo potrebno pretestirati in kje bi lahko tičale pomanjkljivosti, na katere bo potrebno polagati posebno pozornost pri dejanskem testu.
Ta del vzame največ časa in zahteva vaše sodelovanje, sicer rezultati na koncu niso nujno preveč realni.
Takšen varnostni pregled bo pokazal vrsto pomanjkljivosti ali tveganj, še predenj se jih 'potrdi' s pomočjo penetracijskega testa.
Obratno pa lahko imaš kakšno zelo rizično zadevo, ki ti jo sam penetracijski test ne bo pokazal, bi se pa lahko odkrila v okviru varnostnega pregleda, ki je uvod v resen penetracijski test.

Ker pa lahko slutiš, da gre tak resen test lahko v precejšnje denarje (10.000€ ni nič posebnega pri večjih firmah), se to bolj redko kje dela več kot 1x letno in se polaga več naporov v sprotno varnostno preverjanje sprememb na omrežju.