¿Conviene comprar herramientas de escaneo de vulnerabilidades o contratarlo como servicio externo?

Hace dos años compramos una licencia por 4.800 dólares para 60 endpoints. En el primer escaneo nos arrojó 340 hallazgos críticos y altos. Dos devs senior estuvieron tres semanas solo tratando de entender los resultados, y más de la mitad eran alertas falsas por temas de configuración. La licencia costó 4.800 dólares, pero el esfuerzo de desarrollo nos salió al menos 10.000.

Ojo al contratar servicios externos. Muchas consultoras corren la misma herramienta corporativa que ustedes están pensando comprar, le pegan su logo al PDF que sale y se lo venden. Si van a contratar el servicio, asegúrense de incluir en el contrato la validación manual y la limpieza de falsos positivos, si no van a tirar la plata.

Si compran la herramienta, van a tener que manejar la diferencia entre escaneos autenticados (credentialed) y escaneos de red externos. ¿Van a hacer una instalación basada en agentes o solo van a escanear IP externas? Sin un experto interno, la configuración y los permisos de los agentes pueden terminar creando una falla de seguridad extra.

Para decidir, miren estos tres puntos: 1) ¿Su equipo tiene tiempo para interpretar los scores CVSS y la explotabilidad de las vulnerabilidades? 2) ¿Tienen clientes que exijan la firma de un auditor independiente? 3) ¿Van a escanear solo 4 veces al año o lo van a integrar en procesos de despliegue continuo? Para 4 veces al año no renta una licencia interna.

nosotros tmb estuvimos en ese dilema... compramos la herramienta y el primer mes escaneamos re entusiasmados, dsp nadie mas la miro y el dashboard se lleno de alertas rojas lego si no hay recursos internos contratar el servicio te deja la cabeza mucho mas tranquila.

si intalamos herramientas de escaneo de vulnerabilidades gratuitas y de código abierto en nuestro propio servidor, ¿no cumplirían con el estándar de informe corporativo que piden los clientes? ¿Cuál es exactamente la diferencia principal?

Para responder también la duda del compañero: las herramientas de código abierto son buenas para la detección técnica, pero los clientes corporativos suelen buscar el cumplimiento de estándares conocidos y una firma institucional en el informe. En los procesos de venta B2B, los auditores se fijan en qué metodología se usó para generar el informe. Un informe no verificado hecho por uno mismo puede trabar una venta.

Pregúntenle a la empresa a la que le pidieron presupuesto si el servicio trimestral incluye una reunión de remediación (remediation call) de una hora. En lugar de tirarle el resultado del escaneo por la cabeza a sus desarrolladores, escuchar del consultor cómo solucionar las tres vulnerabilidades prioritarias agiliza el trabajo de una forma increíble.

Lo probaré.

La discusión se ha dispersado, voy a ordenarla. La mayor parte de la pérdida de tiempo se acumula en los trabajos pendientes de aprobación.

Eso es todo, disculpa si me he extendido demasiado.

Yo también pienso lo mismo. Si el permiso y el alcance no están por escrito, que no empiece la prueba.

Si tenéis dudas, escribid, os responderé en la medida de lo posible.

quisiera hacer una pregunta.. pero o sea no confíes en una sola medida; ve capa por capa.

eso es todo, disculpa si me he extenido demasiado.

A nosotros también nos pasa.

En su momento nosotros también nos atascamos ahí. Intentar hacerlo solo es la vía más cara.

Lo dejo como nota, por si sirve.

El año pasado nos pasó casi exactamente lo mismo. o sea todos los que se apresuran con herramientas de escaneo de vulnerabilidades se atascan en el mismo punto.

Ningún proceso mejora si no se registran datos porque no sabes qué tienes que arreglar. Lo dejo como nota, por si sirve.

No tengo ninguna experiencia en herramientas de escaneo de vulnerabilidades, por eso pregunto. Tomar notas durante dos semanas da mejores resultados que estimar seis meses.

Lo dejo como nota, por si sirve.

Me han quedado claras las dudas gracias.

Yo también tengo curiosidad. Si el camino de la notificación es largo, la notificación no llega; una notificación que no llega significa un incidente detectado tarde.