Probé sitios gratuitos de escaneo de vulnerabilidades en mi web: me salieron decenas de fallos, ¿cuáles tengo que arreglar de verdad?

Los escáneres gratis solo miran desde afuera y revisan las respuestas HTTP. Por ejemplo, si en la respuesta del servidor se ve la versión de PHP o del servidor, lo marcan enseguida como riesgo medio. Eso no es una vulnerabilidad, solo exposición de info. A menos q haya un fallo confirmado para esa versión, no vale la pena gastar dinero.

El año pasado por un pánico parecido pagamos 1.600 AED a un externo por un reporte de 35 alertas. Al terminar vimos q 28 cosas eran solo agregar tres líneas de cabeceras de seguridad al servidor. Solo había un fallo de plugin con riesgo real y ese lo podíamos haber cerrado gratis actualizando el plugin.

Abra el informe y busque en la barra lo siguiente: 'Injection' 'XSS', 'Bypass', 'Arbitrary File'. Marque las líneas que contengan estas palabras al final probablemente le queden solo 3 o 4 puntos. Dígale a su especialista que solo verifique y solucione estos elementos. Por ahora puede ignorar el resto.

El objetivo de los sitios de escaneo gratuito suele ser asustar al usuario para venderle sus propios paquetes de escaneo profundo de pago o de consultoría. Si mira abajo del todo, verá que junto al informe suelen incluir ofertas como 'solucione esto profesionalmente con un solo clic'. No se crea todo lo que aparezca en rojo.

¿Su web es un CMS listo tipo WordPress o es un sistema desarrollado totalmente a medida? Y al cobrar, ¿mantiene los datos de las tarjetas de crédito en su propio servidor o los redirige a la página de pago del proveedor? El análisis de riesgo cambia por completo según esto.

Con calma, si su sitio no está sufriendo un ataque activo en este momento, no actúe con pánico. Las herramientas automáticas restan puntos por cualquier cabecera que falte. En el mundo web casi no existen sitios con cero advertencias. Su prioridad siempre debe ser la base de datos de clientes, el sistema de cifrado de administradores y los campos de los formularios.

Junto a los puntos del informe suele haber códigos 'CVE' o 'CWE'. Los términos que no entienda, búsquelos directamente con ese código en internet. Si lee un par de publicaciones en foros sobre para qué sirve realmente esa vulnerabilidad en la práctica, podrá tratar el tema con su desarrollador con mucho más criterio.

Lo probaré.

Correcto. Los primeros tres meses todo va bien, los problemas aparecen en el cuarto.

Si no lo pones por escrito desde el principio, luego surgen discusiones. Si tenéis dudas, escribid, os responderé en la medida de lo posible.

Si no me equivoco, quieres decir esto: Al tomar decisiones, escribe también el peor escenario, no solo el mejor.

Si obtienes tres respuestas distintas sobre un tema, la pregunta está mal formulada. Yo seguiría por ese camino.

Permíteme resumir lo que se ha dicho hasta ahora. Que todo el mundo haga algo no significa que sea lo correcto.

Lo que más tiempo nos hacía perder era no saber quién tomaba las decisiones. Si tenéis dudas, escribid, os responderé en la medida de lo posible.

en su momento, nosotros también nos atascamos ahí y lo importante no es la cifra, sino en qué se basa esa cifra.

todos los que se apresuran con sitio de escaneo de vulnerabilidades se atascan en el missmo punto. eso es todo disculpa si me he extendido demasiado.

Estoy de acuerdo. Los entornos de prueba olvidados son una puerta de entrada más frecuente que el sistema en producción.

Eso es todo, disculpa si me he extendido demasiado.

Si no me equivoco, quieres decir esto: Ningún proceso mejora si no se registran datos, porque no sabes qué tienes que arreglar.

Sí, la situación con sitio de escaneo de vulnerabilidades es exactamente así. Si regañas las falsas alarmas, nadie volverá a reportar.

La mayoría de los incidentes no empiezan por una vulnerabilidad, sino por una contraseña filtrada.

Llevé mucho tiempo con este asunto. Que la copia de seguridad sea accesible en la misma red y con la misma identidad la convierte en parte del objetivo.

Espero que le sea útil.

No sabía eso. Si decidimos sin medir, siempre acabamos en el mismo punto.

Las decisiones apresuradas son las que hay que corregir seis meses después. Si tenéis dudas, escribid, os responderé en la medida de lo posible.

No tengo ninguna experiencia en sitio de escaneo de vulnerabilidades, por eso pregunto. Lo importante no es la cifra, sino en qué se basa esa cifra.

Yo seguiría por ese camino.