Ci è arrivato il report del pentest ma non ci capiamo niente — cosa spiega e cosa dobbiamo guardare?

La risposta "il sistema funziona" data dal vostro sistemista è fuorviante. Che un'applicazione web funzioni e che sia sicura sono due cose completamente diverse. Per esempio, se c'è una SQL injection, il sistema continua a prendere gli ordini alla perfezione, ma un malintenzionato può esportare l'intera tabella dei clienti e dei saldi con una singola query dall'URL. Guardate assolutamente le prove dei riscontri nel report.

classica reazione del sistemista purtroppo dice che è un'esagerazione solo x nn aveere lavoro in più... boh la dirigenza deve prendere le righe con scritto "critico" e "alto" metterle su un excel e farle firmare al responsabile dandogli una scadenza. il resto è solo perdita di tempo.

edit: ho scritto da telefono, scusate gli errori di battitura.

Chiamate la società di cybersecurity che ha eseguito il test e, se previsto dal contratto, chiedete una riunione di chiusura del report di un'ora. Fate partecipare anche il vostro tecnico IT e chiedete direttamente al tester: "Sfruttando questa vulnerabilità è possibile bloccare il nostro portale ordini B2B o rubare i dati dei clienti?". La discussione si chiude lì.

A volte le società di sicurezza si limitano a incollare l'output grezzo dei tool di scansione automatica presentandolo come un report di 40 pagine. In questi casi possono esserci dei falsi positivi. L'obiezione del vostro sistemista potrebbe basarsi su questo. Controllate se nel report dietro a ogni vulnerabilità segnalata, c'è una prova concreta di exploit manuale.

Il percorso da seguire per passare all'azione: 1) Fissate una scadenza urgente di 7 giorni per il rilascio delle patch relative ai problemi critici. 2) Provate i fix in un ambiente di test e non sul sistema in produzione, assicurandovi che il flusso degli ordini non si interrompa. 3) Fate chiudere le segnalazioni usufruendo del retest gratuito previsto dal vostro contratto.

Avendo gestito processi di audit per anni, posso dirvi questo: il report è la diagnosi, la vera responsabilità sta nell'applicare la cura. Un solo addetto IT che deve sia mandare avanti l'operatività quotidiana sia chiudere vulnerabilità web complesse rischia di andare in affanno. Se serve, supportate il sistemista chiedendo aiuto all'agenzia esterna che ha sviluppato il software web.

ma per questo test di verifica bisogna pagare di nuovo da zero la società di sicurezza? cioè nel nosrto preventivo non ho visto voci relative al retest, di solito è un servizio compreso nel prezzo?

Sono d'accordo. Se la verifica in due passaggi è attiva, una password rubata da sola non serve a nulla.

Se scrivete qui il risultato, sarà utile anche ad altri.

Come avete risolto questo? Nessun processo migliora senza tracciamento, perché non sai cosa correggere.

Se non lo rendete scritto fin dall'inizio, poi nascono discussioni. Lascio una nota, potrebbe servire.

La risposta sopra ha colto l'essenza della questione. Ogni punto non scritto è un punto che in futuro le due parti ricorderanno diversamente.

Se scrivete qui il risultato, sarà utile anche ad altri.

Sono emerse tre opinioni diverse, si completano a vicenda. Le soluzioni che funzionano su piccola scala crollano quando si cresce, l'ho imparato tardi.

Prendere misure senza fare un inventario lascia aperta una porta che non vedi. Naturalmente cambia se la vostra situazione è diversa.

Ha ragione.

Assolutamente. Se devo aggiungere qualcosa: Da noi la cosa che faceva perdere più tempo era non sapere chi decidesse.

Se scrivete qui il risultato, sarà utile anche ad altri.

La strada che sembra economica di solito finisce per costare cara. La maggior parte degli incidenti non inizia da una vulnerabilità, ma da una password trapelata.

Naturalmente cambia se la vostra situazione è diversa.

Ho vissuto la stessa cosa.

La discussione si è dispersa, la riassumo. Chiunque abbia fretta su cos'è un report di pentest si blocca nello stesso punto.

La sicurezza non è assoluta; significa rendere l'attacco non conveniente. È tutto, scusate se mi sono dilungato.

Ha ragione. Se la verifica in due passaggi è attiva, una password rubata da sola non serve a nulla.

Se è la prima volta, inizia in piccolo il ridimensionamento viene dopo. Spero che le sia utile.

Se volete procedere così, risolvete questo punto fin dall'inizio. Avere il backup accessibile sulla stessa rete e con le stesse credenziali lo rende parte del bersaglio.

Io seguirei questa strada.