Abbiamo ricevuto il report di vulnerability assessment pieno di livelli di gravità: come impostiamo un piano d'azione?

I punteggi CVSS indicano la gravità generale, ma da soli non descrivono la probabilità reale della minaccia. Quando analizzate i risultati nel report, verificate se il codice di exploit per quella vulnerabilità è pubblicamente accessibile. Una vulnerabilità il cui exploit circola liberamente su internet sotto forma di script pronto all'uso, anche con un punteggio di 7.5, è molto più pericolosa di una da 9.0 estremamente difficile da sfruttare.

Non bloccate tutto il team di sviluppo sulla sicurezza contemporaneamente. Assegnate un solo dev del team esclusivamente ai fix di sicurezza per questa settimana mentre gli altri continuano con la normale roadmap. Aggiornare le versioni delle librerie di solito risolve metà del lavoro; aggiornate prima i pacchetti del server per vedere quanti problemi si chiudono automaticamente.

L'anno scorso abbiamo avuto 52 segnalazioni in un audit simile. Analizzandole, abbiamo scoperto che 18 di queste derivavano semplicemente da due librerie JavaScript open source ormai datate. Aggiornare quelle due librerie e ripulire le dipendenze ci ha richiesto mezza giornata, e quasi un terzo del report è stato risolto in un colpo solo.

Per gestire il processo, vi consiglio di seguire questo ordine: 1) Inserite nel primo sprint le vulnerabilità critiche e alte sui server esposti all'esterno, 2) Assegnate al team devops in un unico ticket i problemi di configurazione legati a header mancanti e crittografia, 3) Spostate i restanti livelli medi e bassi nel backlog del debito tecnico, distribuendone uno o due per ogni ciclo di sviluppo.

anche noi faremo una scansione simile a breve, ma cosa si intende esattamente con "falso positivo" nel report? comunque cioè, è possibile che una vulnerabilità segnalata nel report della società di sicurezza in realtà non sia mai esistita nel nostro sistema?

A volte le società di sicurezza si limitano a lanciare lo scanner automatico e consegnano direttamente al cliente il PDF grezzo da 70 pagine. Se le evidenze nel report non contengono screenshot come prova dell'exploit, avete tutto il diritto di chiedere che il report venga revisionato e verificato manualmente; 4.800 USD non possono essere il costo per premere semplicemente un pulsante.

Quando si riceve il primo report vanno tutti nel panico è normalissimo. Quelle liste di solito fanno paura perché anche la minima fuga di informazioni allunga il documento. Concentratevi sui 6 punti critici e risolveteli poi mostrate il vostro piano al cliente; le grandi aziende guardano più a come gestite la situazione che non alla presenza stessa delle vulnerabilità.

Ricapitolando: prima di farvi prendere dal panico isolate i falsi positivi, chiudete subito tramite aggiornamenti le falle critiche esposte su internet e inviate al vostro cliente enterprise una timeline di intervento a 30 giorni in attesa della seconda scansione.

Hai fatto bene ad aprire questo thread. Se il percorso di notifica è lungo, la notifica non arriva; una notifica mancante significa un evento scoperto tardi.

Sono curioso di sapere se qualcuno lo fa in modo diverso.

Preso nota grazie.

bisogna procedere con ordine. le persone difendono le abitudini non i processi. la resistenza nasce da lì.

lascio una nota, potrebbe servire.

Mi sono rilassato leggendo questa risposta, quindi non succede solo a me. Le decisioni affrettate diventano decisioni da correggere sei mesi dopo.

Le soluzioni che funzionano su piccola scala crollano quando si cresce, l'ho imparato tardi.

Argomento molto attuale.

La penso diversamente. Il tempo che impiegate a rilevare un problema ne determina direttamente il costo.

Se non lo rendete scritto fin dall'inizio, poi nascono discussioni. Spero che le sia utile.

La mia domanda sarà un po' da principiante scusate. Le persone difendono le abitudini non i processi. La resistenza nasce da lì.

Correggetemi se sbaglio.

Scrivo questo per evitare che facciate lo stesso errore. Se il percorso di notifica è lungo, la notifica non arriva; una notifica mancante significa un evento scoperto tardi.

I primi tre mesi vanno bene, i problemi emergono al quarto mese. Sono curioso di sapere se qualcuno lo fa in modo diverso.

Scrivo questo per evitare che facciate lo stesso errore. Se ricevete tre risposte diverse su un argomento, la domanda è posta male.

Lascio una nota, potrebbe servire.