Beispieldokument. Die Website und die Befunde unten sind Anschauungsmaterial und beschreiben keinen echten Kunden.
BeispielberichtSo sieht das Ergebnis eines Website-Sicherheitschecks mit festem Umfang aus. Die Befunde sind nach Schweregrad gruppiert, jeder ist in klarer Sprache geschrieben, und jede Empfehlung sagt, was zu tun ist.
Zurück zum Website-SicherheitscheckKeiner erforderlich. Der Website-Sicherheitscheck ist ein separates Mandat mit festem Umfang für $299, das einmalig für eine Website gekauft wird. Er ist nicht Teil eines Monatsplans, und für die Bestellung ist kein Wartungsplan nötig. Ein echter Bericht nennt die Website, die er abdeckt.
Eine Momentaufnahme, durchgeführt an drei Werktagen eines Beispielmonats. Ein Check ist eine Momentaufnahme, keine durchgehende Abdeckung: jeder Befund beschreibt die Website so, wie sie an den Prüftagen war.
www.example-sample-site.com - eine fiktive, öffentlich erreichbare Unternehmenswebsite auf einem Standard-CMS, geprüft im autorisierten Umfang. Hier wird keine echte Kunden-Website beschrieben.
Was die Prüfung mit festem Umfang abgedeckt hat: die öffentliche Website sowie die vom Inhaber autorisierten Grundlagen auf Kontoebene. Nichts wurde verändert und nichts wurde ausgenutzt.
Acht Befunde in diesem Beispiel: einer hoch, drei mittel, vier niedrig oder informativ. Der Schweregrad beschreibt die Angriffsfläche, nicht den Nachweis, dass etwas kompromittiert wurde.
Keine, und das mit Absicht. Ein Sicherheitscheck ist eine Prüfung, keine Bereinigung: während des Checks wird an Ihrer Website kein Update, keine Konfigurationsänderung und keine Dateiänderung vorgenommen. Jede unter den Empfehlungen aufgeführte Lösung wird angeboten und freigegeben, bevor irgendeine Arbeit beginnt.
Keine an der Live-Website. Die Arbeit in diesem Mandat ist Analyse und Bericht: die öffentlich erreichbaren Oberflächen prüfen, jeden Befund von Hand bestätigen, damit nichts allein auf Basis eines automatisierten Scans gemeldet wird, und alles so aufschreiben, dass Sie danach handeln oder es an die Person weitergeben können, die die Website betreut.
Der Check hat einen Festpreis und einen festen Umfang. Das Beheben der Befunde ist separate Arbeit, die angeboten wird, sobald Sie den Bericht haben und entschieden haben, was Sie umsetzen wollen.
In Reihenfolge der Priorität. Jeder Punkt sagt, was zu tun ist, nicht nur, was falsch ist.
Was am Ende des Checks offen bleibt. Auch ein Check, der nichts geschlossen hat, sagt Ihnen genau, wo Sie stehen.
Dies ist eine Momentaufnahme einer öffentlich erreichbaren Website. Sie ist kein Penetrationstest, kein destruktiver Test, keine Compliance-Zertifizierung oder -Prüfung, keine Incident-Response und keine Zusicherung, dass eine Website nie kompromittiert werden kann. Die Befunde beschreiben, was an den Prüftagen beobachtbar war; alles nicht Beobachtbare wird als unbekannt gemeldet statt als sicher angenommen.
