Prima di pagare per un security audit: esiste una checklist di sicurezza per siti web da fare da soli?

Apri la console sviluppatori del browser, controlla la scheda sicurezza e fai scansionare il sito con tool gratuiti di analisi degli header. Aggiungere alla configurazione del server gli header mancanti segnalati richiede appena 30 minuti e ti toglie di mezzo metà dei punti del report fin da subito.

L'anno scorso abbiamo pagato 3.200 sterline per un penetration test e il report conteneva 11 problemi: 7 di questi erano solo header mancanti sul server e directory listing aperto. Se avessimo fatto prima quei controlli, avremmo potuto spingere l'azienda a concentrarsi sui bug logici nel flusso di pagamento dell'applicazione.

Personalizza assolutamente le pagine di errore. Se il tuo server o il software dà un errore 500 e mostra a schermo lo stack trace o la versione del database, stai dando una mappa all'attaccante. In produzione disattiva tutti i dettagli degli errori e mostra solo un codice di errore generico.

Aggiungi alla checklist anche queste cose: 1) Token CSRF attivi sui form di prenotazione. 2) Nessun pannello nascosto o cartella di backup esposti nel file robots.txt. 3) Scansione del server alla ricerca di file di configurazione sensibili dimenticati (.zip, .sql, .env, ecc.).

Con la tua checklist garantisci l'igiene di base, ma non pensare che sostituisca un test professionale. I bug di logica di business (tipo cambiare l'id prenotazione di un altro per vederne i dettagli superando i permessi) non saltano fuori con nessuna lista automatica. Fai la checklist, ma non accantonare del tutto l'audit.

controllate pure i backup direi. la sicurezza nn è solo il momento dell'attacco; se va storto qlc riuscite a tornare ai dati puliti di 1 ora prima e il backup sta su un server isolato? cioè qst è fondamentale.

Operando nel Regno Unito, la protezione dei dati degli utenti comporta una responsabilità legale diretta. Raccogliere i controlli svolti in un report interno di sicurezza con data certa dimostra la buona fede e l'approccio proattivo della vostra azienda in caso di eventuali controlli sulla protezione dati.

Non fatevi spaventare, sono controlli che si chiudono in una giornata. Sistemate almeno le configurazioni di base e poi andate dalla ditta: dicendo "abbiamo già fatto i controlli base, vogliamo solo un'analisi approfondita della logica applicativa" potrebbero persino abbassare il prezzo del preventivo.

Sono della stessa opinione. Ogni punto non scritto è un punto che in futuro le due parti ricorderanno diversamente.

Correggetemi se sbaglio.

ti seguuo poi le soluzioni che funzionano su piccola scala crollano quando si cresce, l'ho imparato tardi.

prendere appunti per due settimane dà risultati migliori rispetto a una stima di sei mesi... se scriveete qui il risultato sarà utile anche ad altri.

C'è una cosa a cui prestare attenzione. Se è la prima volta, inizia in piccolo, il ridimensionamento viene dopo.

Cercare di farlo da soli è la strada più costosa. Buon lavoro.

La risposta sopra ha colto l'essenza della questione. Cercare di farlo da soli è la strada più costosa.

Se il percorso di notifica è lungo, la notifica non arriva; una notifica mancante significa un evento scoperto tardi. Io seguirei questa strada.

Questo thread è archiviato.

non trascurare nulla: Il tempo che impiegate a rilevre un problema ne determina direttamente il costo.

naturalmente cambia se la vostra situazione è diversa.

Avrei una domanda, non vorrei deviare dall'argomento, ma... Quando prendete una decisione, scrivete anche lo scenario peggiore, non solo quello migliore.

Correggetemi se sbaglio.

l'anno scorso abbiamo vissuto quasi la stessa cosa ma la sicurezza non è assoluta; significa rendere l'attacco non conveniente.

sono curioso di sapere se qualcuno lo fa in modo diverso.

Ci proverò.

Sono emerse tre opinioni diverse si completano a vicenda. Se permessi e ambito non sono scritti, quel test non deve iniziare.

Se scrivete qui il risultato, sarà utile anche ad altri.