Le rapport de pentest demande de « corriger sous 30 jours » — concrètement, que signifie la remédiation pour nous ?

Regardez bien les scores CVSS dans le rapport. Tout ce qui est à 7.0 ou plus est classé élevé ou critique. Ce sont souvent des failles d'authentification ou des vulnérabilités connues dues à des dépendances obsolètes. Vos développeurs doivent prioriser les mises à jour de bibliothèques et le filtrage des entrées utilisateurs.

On est passés par le même audit. Sur 12 failles, 4 étaient élevées. Nos développeurs ont mis tous les autres chantiers en pause pendant deux semaines pour s'y consacrer à fond. Les 3 failles d'infrastructure ont été réglées en 2 jours via les règles de firewall du cloud. La boîte d'audit a fait le retest 5 jours après et a validé le rapport sans réserve.

L'exigence des 30 jours imposée par le client est surtout un réflexe bureaucratique. Les points mineurs du rapport, comme la divulgation d'informations de version logicielle, ne posent pas de réel risque opérationnel. Concentrez plutôt vos efforts sur les vrais risques de fuite de données qui pourraient impacter le client.

Contactez tout de suite la boîte qui a fait le test d'intrusion et vérifiez dans votre contrat si vous avez droit à un nouveau test. Si oui, notez clairement dans votre agenda la date limite pour finir les corrections et lancer le test.

Les étapes de base pour corriger les vulnérabilités : 1) Séparez les findings en deux catégories, failles de code et failles serveur/réseau, 2) Donnez la priorité à celles avec un score CVSS de 7 et plus, 3) Pour chaque faille corrigée dans le code, faites tourner un scénario de test à vos devs, 4) Une fois la correction terminée, demandez une lettre de validation officielle à la boîte de test.

la première fois qu'on voit un rapport aussi épais on peut paniiquer c'est tout à fait normal. la moitié du rapport, c'est déjà des captures d'écran et des définitions générales mais quand vous vous posez tranquille pour regarder vous verrez que ce sont des erreurs de logique que vos devs peuvent nettoyer en 1-2 semaines.

côté serveur, c'est souvent juste de la config mais les erreurs de logique côté code peuvent prendre du temps. hésitez pas à poser des questions directement à la boîte de test ils sont obligés d'expliquer le détail du finding.

En résumé ; c'est votre équipe qui va corriger le code, et vous ferez les réglages serveur depuis le panel cloud. En 30 jours, vous fermerez les hautes et vous expliquerez ce que vous avez contourné avec des solutions provisoires, et au final vous ferez refaire un test par la même boîte de sécu et vous donnerez au client une attestation de validation propre.

Correction : je me suis trompé sur le chiffre, c'était un peu plus bas.

Je me permets une petite mise en garde. Si c'est une première, commencez petit, l'échelle viendra plus tard.

À votre place, j'irais par cette voie.

On en parle beaucoup, mais chez nous, cela ne s'est jamais passé ainsi. Quand on décide sans mesurer, on revient toujours au même point.

À votre place, j'irais par cette voie.

si vous partez dans cette direction réglez cela dès le dépat mais les décisions hâtives finissent par être corrigées six mois plus tard.

à votre place j'irais par cette voie.

Je partage mon expérience. Le vrai problème n'est pas le chiffre, mais la base sur laquelle il est calculé.

Bien sûr cela change si votre situation est différente.

Je suis dans la même situation c'est pourquoi je pose la question. Les solutions qui fonctionnent à petite échelle s'effondrent en grandissant j'ai appris cela trop tard.

Ce que tout le monde fait ne signifie pas que c'est la bonne chose. À votre place j'irais par cette voie.

Pour entrer dans le détail : Commencez par un petit test, ne vous engagez pas sur tout d'un coup.

je n'ai aucune expérience en remédiation des vulnérabilités c'est pourqquoi je pose la question puis du coup commencez par un petit test ne vous engagez pas sur tout d'un coup.

si vous avez des questions écrivez-moi, je répondrai au mieux.

Exactement, et ce n'est pas si connu que ça. Si la double authentification est activée, un mot de passe volé seul ne suffit pas.

Voilà, désolé si je me suis étendu.

Je suis intéressé.

La discussion part dans tous les sens, je recentre. Les solutions qui fonctionnent à petite échelle s'effondrent en grandissant, j'ai appris cela trop tard.

Corrigez-moi si je me trompe.