Come passare i risultati del penetration test agli sviluppatori: quale formato e priorità?

Lo score CVSS nel report non riflette sempre il rischio reale. Per dire, una vulnerabilità XSS confinata dentro al pannello admin potrebbe avere un punteggio alto, mentre una password policy debole sul form di login pubblico potrebbe risultare media. Date sempre la precedenza alle falle sfruttabili direttamente dall'esterno e che espongono dati.

Incollate dentro a ogni ticket i passaggi esatti per riprodurre la vulnerabilità. Se il dev non riesce a replicarla nel proprio ambiente locale non potrà risolverla, vi risponderà con il classico 'a me funziona' e vi rimanderà indietro il ticket.

L'anno scorso ho girato un report di 110 pagine agli sviluppatori con una mail cumulativa. Due mesi dopo durante l'audit, abbiamo scoperto che non era stato toccato nulla perché ognuno pensava che se ne stesse occupando un altro. Se non aprite ticket singoli assegnati nominalmente alle persone, quel report non lo legge nessuno.

mandare il pdf agli sviluppatori è il peggior errore possibile. nessuno si mette a leggere 80 pagine di trattato sulla sicurezza. mettete url e parametri nel sistema di ticketing assegnateli e via.

Non fidatevi ciecamente nemmeno dei report delle società di test. Spesso giusto per fare volume inseriscono dieci segnalazioni banali da scanner automatico come 'version disclosure' etichettandole come ad alto rischio facendo solo perdere tempo ai dev.

Dovete inserire una tabella di SLA per la remediation nelle vostre procedure interne di sicurezza. Bisogna formalizzare per iscritto che le criticità si risolvono entro 3 giorni, quelle alte entro 15 giorni e le medie entro 45 giorni.

anche noi abbiamo un test a breve una volta che i dev chiudono le falle la società le riverifica gratis o emette una nuova fattura?

Mettete il team di sviluppo e la società di test attorno allo stesso tavolo per una riunione: in mezza giornata chiarite ogni singolo punto.

Riassumo l'argomento perché sono state date diverse risposte. Più è difficile tornare indietro su una decisione, più lentamente dovreste prenderla.

Spero che le sia utile.

Direi di non avere fretta. Le soluzioni che funzionano su piccola scala crollano quando si cresce, l'ho imparato tardi.

c'è una parte che non ho capito. prendere misure senza fare un inventario lascia aperta una porta che non vedi.

questa è la mia opinione, non la scrivo come verità assoluta.

mi farebbe piacere se scrivesse il risultato.

Per un periodo ci siamo bloccati anche noi nello stesso punto. Non fidatevi di una sola misura di sicurezza; procedete per livelli.

Buon lavoro.

Racconto la mia esperienza. onestamente prendere misure senza fare un inventario lascia aperta una porta che non vedi.

Naturalmente cambia se la vostra situazione è diversa.

Bisogna procedere con ordine. Se cerchi di cambiare tutto insieme, niente si stabilizza.

Sono d'accordo anzi vorrei sottolinearlo. Il vero problema non è il numero ma su cosa si basa quel numero.

Da noi la cosa che faceva perdere più tempo era non sapere chi decidesse. Correggetemi se sbaglio.

Bisogna procedere con ordine. Se la verifica in due passaggi è attiva, una password rubata da sola non serve a nulla.

Lascio una nota, potrebbe servire.

Preso nota, grazie. L'errore commesso da consegna risultati penetration test è generalmente reversibile ma costoso.