El informe del test de penetración dice 'que se subsane en 30 días' — ¿qué significa la remediación de vulnerabilidades para nosotros?

Fíjate en las puntuaciones CVSS del informe. Los hallazgos de 7.0 o más son altos o críticos. Normalmente las vulnerabilidades de autenticación y las brechas conocidas derivadas de librerías antiguas reciben esta puntuación. Tus desarrolladores deben centrarse directamente en actualizaciones de librerías y filtros de validación de entrada.

Nosotros también pasamos por una auditoría similar. De 12 hallazgos, 4 eran altos. Nuestros desarrolladores pararon todo el trabajo de desarrollo durante dos semanas y se centraron solo en eso. Los 3 hallazgos de infraestructura los cerramos en 2 días con las reglas de firewall del proveedor de nube. La empresa del test hizo el test de verificación 5 días después y entregó el informe limpio.

Que el cliente diga que cierres todo en 30 días es un poco un reflejo burocrático. Puntos del informe como la revelación de información de bajo nivel o la visualización de la versión no generan un riesgo operativo. Gasta tu energía en los riesgos de fuga de datos que realmente afectarían al cliente.

Contacten de inmediato a la empresa que hizo el pentest y confirmen si en el contrato tienen derecho a un retest. Si lo tienen, anoten claramente en su calendario la fecha límite para completar las correcciones y solicitar la nueva prueba.

Pasos básicos a seguir para remediar vulnerabilidades: 1) Separen los hallazgos entre fallos de código y de servidor/red, 2) Den prioridad a los que tengan puntuación CVSS de 7 o superior, 3) Hagan que sus desarrolladores ejecuten un caso de prueba para cada fallo corregido en el código, 4) Una vez terminadas las correcciones, soliciten una carta formal de validación a la empresa auditora.

es totalmente normal entrar en pánico cuando ves un informe tan grueso por primera vez. la mitad del reporte son capturas de pantalla y descripciones genéricas... cuando se sienten a revisarlo con calma verán que son errores de lógica que sus devs pueden solucionar en 1-2 semanas.

lo del servidor suele ser solo tema de configuracion pero los fallos de logica en el codigo pueden llevar tiempo. no duden en preguntar directamente a la empresa de pentest, estan obligados a explicar a detalle cada hallazgo.

En resumen: su equipo corregirá el código y ustedes harán los ajustes de servidor desde el panel de la nube. En 30 días cierran las críticas/altas, justifican las soluciones temporales y al final le piden el retest a la misma empresa de seguridad para entregarle al cliente el informe limpio de validación.

Corrección: recordaba mal la cifra, era un poco más baja.

Dejo una advertencia. Si es la primera vez que lo hacéis, empezad poco a poco, la escala llegará después.

Yo seguiría por ese camino.

Hace mucho que oímos eso, pero a nosotros nunca nos pasó así. Si decidimos sin medir, siempre acabamos en el mismo punto.

Yo seguiría por ese camino.

si vas por ahí, resuelve esto desde el principio. la verdad las decisiones apresuradas son las que hay que corregir seis meses después.

yo seguiría por ese camino.

Voy a contar mi experiencia. Lo importante no es la cifra sino en qué se basa esa cifra.

Por supuesto, cambia si tu situación es diferente.

Estoy en la misma situación, por eso pregunto. Las soluciones que funcionan a pequeña escala se rompen al crecer, aprendí esto tarde.

Que todo el mundo haga algo no significa que sea lo correcto. Yo seguiría por ese camino.

Entrando en detalle: Empezad con una pequeña prueba, no lo integréis todo de golpe.

no tengo ninguna experiencia en qué es la remediación de vulnerabilidades, por eso pregunto y empezad con una pequeña prueba no lo inegréis todo de golpe.

si tenéis dudas escribid, os responderé en la mdida de lo posible.

Exacto, y encima no es tan conocido. Si la verificación en dos pasos está activa, una contraseña robada no sirve de nada por sí sola.

Eso es todo, disculpa si me he extendido demasiado.

Estoy siguiendo esto.

La discusión se ha dispersado, voy a ordenarla. Las soluciones que funcionan a pequeña escala se rompen al crecer, aprendí esto tarde.

Corrijanme si me equivoco.