Escaneo de vulnerabilidades en una pequeña empresa: ¿qué herramientas elegir y cómo leer los informes si no somos técnicos?

Si en la parte web usas un gestor de contenidos ya hecho, divide el escaneo en dos: escaneo de puertos externos y escaneo de aplicaciones. Si en el informe pone que los puertos de base de datos o de administración están abiertos al exterior, define esos puertos en el cortafuegos del servidor solo para la IP de tu propia oficina y el problema se resuelve al momento.

En nuestro almacén de Bolonia pasamos por una auditoría parecida. Para no pagar 2.500 EUR fuera, usamos un escáner en la nube por el que pagábamos 80 EUR al mes. En el primer informe salieron 42 vulnerabilidades. Cuando lo miró un conocido que entiende de seguridad, vio que 39 eran solo cosas sin importancia, como no ocultar la información de versión del servidor. Cerrar las 3 vulnerabilidades reales nos llevó 2 horas.

Los informes que generan los escáneres automáticos puede que no se consideren válidos en todas las auditorías de las empresas corporativas. ¿Lo que pide la otra parte es un test de penetración oficial o solo un resultado estándar de escaneo de vulnerabilidades? Si no dejas claro el pliego pueden no aceptar tu certificado de escaneo de 100 EUR y exigirte un informe de un experto acreditado.

Antes de comprar una herramienta de pago, abre un ticket de soporte a tu empresa de hosting actual. Muchos proveedores de hosting corporativo ya dan gratis un informe básico de seguridad y escaneo de puertos desde sus propios paneles. Ese documento suele ser un punto de partida suficiente para muchos auditores.

¿Hay riesgo de que la web se caiga o de que se borren los pedidos de la base de datos si ejecutamos estas herramientas en nuestra web? Nos da miedo lanzar un escaneo mientras estamos recibiendo pedidos en producción.

no tienes que tener miedo los escáneres de vulenrabilidades puros no atacan tu sistema, solo comprueban las manillas de las puertas a ver si hay alguna abierta pero aun así, para no cargar el tráfico de datos, siempre es más seguro lanzar el escaneo fuera del horario laboral a medianoche.

Si no tienes conocimientos técnicos, filtra el informe que te llegue con estos 3 pasos: 1) Marca solo los puntos cuyo estado sea crítico y alto. 2) Descarta las líneas cuya descripción diga que existe código de explotación. 3) Pasa esta lista directamente al soporte técnico de la empresa a la que le alquilas el servidor y pide que cierren esos puertos.

Corrección: recordaba mal la cifra, era un poco más baja.

No le ates 2.000 EUR al consultor; avanza pasándole a tu empresa de servidores las alertas rojas del informe resumen que saques del escáner en la nube.

permíteme resumir lo que se ha dicho hasta ahora pero los cambios en los datos de pago nunca se verifican por el mismo canal por el que llegan.

espreo que le sea útil.

Exacto, y encima no es tan conocido. Los entornos de prueba olvidados son una puerta de entrada más frecuente que el sistema en producción.

Por supuesto, cambia si tu situación es diferente.

Hay que ir paso a paso. la verdad lo importante no es la cifra sino en qué se basa esa cifra.

¿Y cómo resolvieron esto? Un informe de escaneo automático no es lo mismo que una prueba de penetración.

Espero que le sea útil.

Si no me equivoco quieres decir esto: Intentar hacerlo solo es la vía más cara.

Eso es todo, disculpa si me he extendido demasiado.

Este hilo es para archivar. La respuesta varía mucho según el sector, no hay una regla general.

Lo probaré.

El camino que parece barato suele salir caro a la larga. Las decisiones apresuradas son las que hay que corregir seis meses después.

Corrijanme si me equivoco.

Hablaré desde el otro lado, yo estoy en el lado del proveedor. No confíes en una sola medida; ve capa por capa.