Cómo transmitir hallazgos de pruebas de penetración al desarrollador: ¿qué documento y qué orden de prioridad?

La puntuación CVSS del informe no siempre refleja el riesgo real. Por ejemplo, un XSS interno en el panel de admin puede tener una nota alta, pero una política de contraseñas débil en el login expuesto a internet suele figurar como media. Prioriza primero lo que sea explotable directamente desde afuera y que filtre datos.

Pega tal cual los pasos para reproducir la falla dentro de cada ticket. Si el dev no puede replicar la vulnerabilidad en su entorno local, no la va a poder arreglar y va a rebotar el ticket diciendo "en mi máquina funciona".

El año pasado les mandé un informe de 110 páginas por mail masivo a los devs. Dos meses después vino una auditoría y vimos que no se había hecho nada porque cada uno pensó que le tocaba al otro. Si no abres tickets individuales y los asignas a alguien nadie lee ese informe.

mandar un pdf al dev es el peor error q puedes hacer. nadie se va a poner a leer 80 paginas de literatura de seguridad. pon la url y el parametro en el sistema de tickets, asignalo y listo.

Tampoco confíen a ciegas en los informes de las empresas de auditoría. A veces, para engordar el reporte, te meten 10 hallazgos tontos como 'divulgación de versión' sacados de un escáner automático como si fueran altos y solo hacen perder el tiempo a los devs.

Deberías agregar una tabla de SLA de corrección a los procedimientos internos de seguridad de la información. Tienen que comprometerse por escrito a cerrar lo crítico en 3 días, lo alto en 15 días y lo medio en 45 días.

nosotros también tenemos un pentest pronto ¿saben si cuando los devs arreglan la falla la empreas auditora revalida gratis o cobran otra factura?

Junta al equipo de dev y a la empresa de pentest en una sola reunión, en medio día dejan aclarados todos los hallazgos.

Voy a resumir el tema, porque se han dado varias respuestas diferentes. Cuanto más difícil sea revertir una decisión más despacio debéis tomarla.

Espero que le sea útil.

Yo no me apresuraría. Las soluciones que funcionan a pequeña escala se rompen al crecer, aprendí esto tarde.

hay algo que no entiendo. tomar medidas sin hacer inventairo es dejar abierta una puerta que no ves.

esta es mi opinión no lo ecribo como una verdad absoluta.

le agradecería que compartiera el resultado.

En su momento, nosotros también nos atascamos ahí. No confíes en una sola medida; ve capa por capa.

Ánimo.

Voy a contar mi experiencia. pues tomar medidas sin hacer inventario es dejar abierta una puerta que no ves.

Por supuesto, cambia si tu situación es diferente.

Hay que ir paso a paso. Si intentas cambiarlo todo a la vez nada termina de asentarse.

De acuerdo, incluso me gustaría recalcarlo. pues lo importante no es la cifra, sino en qué se basa esa cifra.

Lo que más tiempo nos hacía perder era no saber quién tomaba las decisiones. Corrijanme si me equivoco.

Hay que ir paso a paso. Si la verificación en dos pasos está activa, una contraseña robada no sirve de nada por sí sola.

Lo dejo como nota, por si sirve.

Tomo nota, gracias. El error cometido por entrega de hallazgos de pentest suele ser reversible, pero caro.