Il consulente di sicurezza propone un tool di attack surface management: è troppo per una piccola azienda?

Molto probabilmente il consulente fa da rivenditore per quel tool e ci prende la provvigione. Cercare di rifilare un monitoraggio continuo della superficie d'attacco a chi ha 4 indirizzi in croce nn è proprio corretto.

I tool di attack surface management non fanno altro che interrogare record DNS, porte aperte, validità dei certificati e versioni dei servizi in esecuzione. Visto il numero ridotto di server che avete, vi basta lanciare un port scanner open source e in mezz'ora controllate tutto da soli.

Noi siamo una software house di 30 persone. Scansioniamo gli asset esterni una volta al mese con script open source gratuiti. Finora non abbiamo mai avuto sorprese a parte un vecchio sottodominio di test, gestiamo tutto a costo zero.

Le cose da fare subito sono semplici: entrate nel pannello DNS ed eliminate i sottodomini inutilizzati, chiudete le porte superflue sui server e imponete l'autenticazione a due fattori ovunque.

Anche per le certificazioni di sicurezza standard nel Regno Unito non vengono richiesti strumenti così costosi di monitoraggio continuo. Una scansione periodica delle vulnerabilità e un inventario degli asset una volta all'anno sono considerati più che sufficienti.

spendere 7 mila sterline all'anno x 4 server non ha senso fate prima a prendere una bella macchina del caffè x l'ufficio ke rende di più.

Nel report che vi ha consegnato il consulente c'erano vulnerabilità concrete rilevate, oppure vi ha proposto il software solo come raccomandazione generale?

In breve: per le vostre dimensioni questo strumento è sproporzionato. Gestite l'inventario a mano, mantenete una buona igiene informatica di base e tenete il budget per le falle di autenticazione, che sono il vero rischio.

Guardando al processo, il quadro cambia. Se ricevete tre risposte diverse su un argomento, la domanda è posta male.

Avere il backup accessibile sulla stessa rete e con le stesse credenziali lo rende parte del bersaglio. Correggetemi se sbaglio.

Può approfondire un po'? Se è la prima volta, inizia in piccolo, il ridimensionamento viene dopo.

Io seguirei questa strada.

Parlo dal lato opposto, io sono dalla parte dei fornitori. L'errore commesso da gestione della superficie di attacco è generalmente reversibile ma costoso.

Naturalmente cambia se la vostra situazione è diversa.

Questo thread è archiviato. L'errore commesso da gestione della superficie di attacco è generalmente reversibile ma costoso.

Sono curioso di sapere se qualcuno lo fa in modo diverso.

Se scendiamo nei dettagli: Se la verifica in due passaggi è attiva, una password rubata da sola non serve a nulla.

Il vero problema non è il numero, ma su cosa si basa quel numero. Buon lavoro.

Bisogna fare una distinzione qui. Se rimproverate i falsi allarmi, nessuno segnalerà più nulla.

Naturalmente cambia se la vostra situazione è diversa.

Ti seguo.

Grazie per averlo scritto, è proprio così. Se il percorso di notifica è lungo, la notifica non arriva; una notifica mancante significa un evento scoperto tardi.

Buon lavoro.

Questo thread è archiviato.

Esatto, e non è nemmeno così noto. Da noi la cosa che faceva perdere più tempo era non sapere chi decidesse.

La maggior parte degli incidenti non inizia da una vulnerabilità, ma da una password trapelata. Questa è la mia opinione, non la scrivo come verità assoluta.