Recibimos un informe de evaluación de vulnerabilidades lleno de severidades — ¿cómo lo convertimos en un plan de acción?

Los puntajes CVSS indican la gravedad general, pero no reflejan por sí solos la probabilidad real de una amenaza. Al revisar los hallazgos del informe, fíjese si el código de exploit público está disponible. Una vulnerabilidad con un script listo en internet, aunque tenga un puntaje de 7.5, es mucho más peligrosa que una de 9.0 cuya explotación sea muy compleja.

No ponga a todo el equipo de desarrollo a trabajar en seguridad al mismo tiempo. Asigne a un desarrollador esta semana únicamente a los parches de seguridad, mientras los demás siguen con la hoja de ruta normal. Actualizar las versiones de las librerías suele resolver la mitad del trabajo; actualice primero los paquetes del servidor y vea cuántos hallazgos se cierran automáticamente.

El año pasado tuvimos 52 hallazgos en una auditoría similar. Al analizarlos, vimos que 18 de ellos venían de solo dos librerías open source de JavaScript desactualizadas. Actualizar esas dos librerías y limpiar las dependencias nos llevó medio día, y se cerró casi un tercio del informe de un solo tiro.

Para gestionar el proceso, le sugiero seguir este orden: 1) Incluya los hallazgos críticos y altos de los servidores expuestos a internet en el primer sprint, 2) Pase los fallos de configuración, como cabeceras faltantes y cifrado, al equipo de devops en un solo ticket, 3) Mueva el resto de los niveles medios y bajos al backlog de deuda técnica y distribuya uno o dos en cada ciclo de desarrollo.

nosotros también haremos un escaneo parecido pronto pero ¿a qué se refieren exactamente con falsos positivos en el informe? o sea, ¿puede ser que una vulnerabilidad que sale en el informe de la empresa de seguridad en realidad nunca haya existido en nuestro sistema?

A veces las empresas de seguridad pasan el escáner automático y le entregan directamente al cliente el PDF crudo de 70 páginas. Si los hallazgos del informe no tienen capturas de pantalla como prueba del exploit, tiene derecho a pedirles que interpreten y verifiquen el informe manualmente; 4.800 USD no deberían ser solo el precio de presionar un botón.

Cuando se recibe el primer informe a todo el mundo le entra un pánico enorme, es supernormal. Esas listas suelen asustar porque hasta la más mínima fuga de información alarga el reporte. Enfóquense en los 6 puntos críticos ciérrenlos y muéstrenle el plan al cliente; las empresas corporativas se fijan más en cómo gestionan esto que en el hecho de que haya fallas.

En resumen: antes de entrar en pánico depure los falsos positivos, cierre de inmediato las vulnerabilidades críticas expuestas a internet mediante actualizaciones y envíe a su cliente corporativo un cronograma de acción a 30 días mientras espera el segundo escaneo.

Ha sido una buena idea abrir este hilo. Si el camino de la notificación es largo, la notificación no llega; una notificación que no llega significa un incidente detectado tarde.

También me gustaría saber si alguien lo hace de otra manera.

Tomo nota, gracias.

hay que ir paso a paso y la gente no defiende el proceso defiende la costumbre. o sea la resistencia viene de ahí.

lo dejo como nota, por si sirve.

Me quedé tranquilo al leer esta respuesta, así que no solo me pasa a mí. Las decisiones apresuradas son las que hay que corregir seis meses después.

Las soluciones que funcionan a pequeña escala se rompen al crecer, aprendí esto tarde.

Tema muy oportuno.

Pienso diferente. El tiempo que tardas en detectar un problema determina directamente su coste.

Si no lo pones por escrito desde el principio, luego surgen discusiones. Espero que le sea útil.

Lo que voy a preguntar sonará un poco novato perdonadme. La gente no defiende el proceso defiende la costumbre. La resistencia viene de ahí.

Corrijanme si me equivoco.

Lo escribo para que no cometan el mismo error. Si el camino de la notificación es largo, la notificación no llega; una notificación que no llega significa un incidente detectado tarde.

Los primeros tres meses todo va bien, los problemas aparecen en el cuarto. También me gustaría saber si alguien lo hace de otra manera.

Lo escribo para que no cometan el mismo error. Si obtienes tres respuestas distintas sobre un tema, la pregunta está mal formulada.

Lo dejo como nota, por si sirve.