Busco herramientas de análisis de vulnerabilidades: en un equipo de 8, ¿qué puedo usar yo mismo sin romper nada?

Tienes que separar claramente el escaneo activo del pasivo. Si le metes fuzzers agresivos a formularios o páginas de login, o módulos que tiren peticiones a lo loco, vas a tumbar la base de datos. En escaneos de puertos a nivel de red, limita la tasa de peticiones por segundo. Y en la parte web, nunca lances los análisis contra producción con base de datos real: hazlo en un entorno de staging que replique producción.

No vas a pasar una auditoría con un cliente corporativo alemán solo con el reporte de escaneo que hayas sacado tú mismo. Un auditor no te va a aceptar un "hicimos un escaneo interno y salió limpio", buscan una firma independiente y una metodología clara. Además, la mayor parte del informe de cien páginas que genera la herramienta suele ser puro ruido sin importancia y para filtrarlo hace falta conocimiento experto.

edit: arriba escribí mal, disculpad.

Para gestionar el escaneo de forma segura sigan estos pasos: 1) Hagan un backup de la base de datos de producción, cárguenlo en un entorno de pruebas y dirijan el escaneo únicamente a esa dirección de test. 2) Limiten la tasa de peticiones en la herramienta de escaneo a un máximo de 3 a 5 peticiones por segundo. 3) Antes de iniciar el escaneo tengan abierto un panel de monitorización en tiempo real del uso de recursos del servidor.

nosotros probamos el año pasado en prod y a traves del formulario de contacto se abrieron 800 tickets vacios en dos horas. los sistemas de notificaciones se saturaron asi que dejen fuera del escaneo los campos de formulario si o si o trabajen en un server de pruebas.

Al configurar motores gratuitos y de código abierto, tomen sin falta estas tres precauciones: 1) Seleccionen únicamente el modo de recopilación de información y análisis pasivo, deshabilitando las pruebas de explotación o denegación de servicio. 2) Añadan a la lista negra los enlaces de formularios que disparen correos electrónicos o envíen SMS. 3) Programen el escaneo fuera del horario laboral, a medianoche.

En nuestro equipo de ocho personas hacemos un escaneo automático semanal de dependencias. La primera vez que lo configuramos salieron 14 vulnerabilidades críticas en los paquetes externos que usábamos. Las cerramos todas en 3 días solo actualizando versiones, reduciendo el riesgo de forma drástica sin tener que lanzar ni un solo paquete de prueba contra el servidor.

Al instalar y ejecutar estas herramientas en el servidor, ¿queda algún archivo residual o algún software tipo agente que pueda abrir una brecha de seguridad o al terminar el escaneo todo vuelve a su estado anterior?

No toquen la máquina de producción para nada. Ejecuten una herramienta de análisis estático de código abierto para su código base en su máquina local. Y para el sistema operativo del servidor, simplemente ejecuten el comando del gestor de paquetes que lista las actualizaciones de seguridad. Con cero riesgo ya tienen resuelta la mitad del trabajo.

Tiene razón.

A nosotros nos pasó esto. Las soluciones que funcionan a pequeña escala se rompen al crecer, aprendí esto tarde.

La discusión se ha dispersado, voy a ordenarla. No tengáis miedo de preguntar, quien no pregunta siempre paga más caro.

La mayoría de los incidentes no empiezan por una vulnerabilidad, sino por una contraseña filtrada.

Tomo nota gracias.

Permíteme resumir lo que se ha dicho hasta ahora. Al tomar decisiones, escribe también el peor escenario, no solo el mejor.

Yo no me apresuraría. Los cambios en los datos de pago nunca se verifican por el mismo canal por el que llegan.

Perdona, pero esto no es válido en todos los casos. Los cambios en los datos de pago nunca se verifican por el mismo canal por el que llegan.

Corrijanme si me equivoco.

Perdona, pero esto no es válido en todos los casos. Lo importante no es la cifra, sino en qué se basa esa cifra.

Estoy de acuerdo.

Hay algo que no entiendo. La seguridad no es absoluta; significa hacer que el ataque no merezca la pena.

Lo importante no es la cifra, sino en qué se basa esa cifra. Ánimo.