Ho fatto un controllo di sicurezza online del sito: sono uscite vulnerabilità gravi, ci dobbiamo fidare?

Gli scanner in genere leggono solo il numero di versione di Apache o Nginx nell'header del server e tirano fuori dal database tutte le vecchie vulnerabilità legate a quella versione. Sul vostro server, però, la patch per quella falla potrebbe già essere installata a livello di sistema operativo. Se nascondete le informazioni di versione verso l'esterno, gran parte di quegli avvisi sparirà dal report.

La maggior parte di questi siti di scansione gratuita non è altro che un funnel di marketing. Vi piazzano davanti loghi rossi e punteggi catastrofici e subito sotto spunta il pulsante 'Risolvi le vulnerabilità con un clic'. Non si tratta di un vero penetration test, ma di una strategia basata sulla paura per vendere servizi.

Gestisco siti e-commerce da anni; nella maggior parte dei report che mi portavano i clienti nel panico non c'era nessun rischio reale. I tool automatici danno un'idea generale, ma non definiscono le vere priorità. Il mio consiglio: aumentate la frequenza dei backup giornalieri e impostate l'autenticazione a due fattori sul pannello di amministrazione.

Non spendete soldi subito. Prima di tutto cambiate l'URL di accesso al pannello di amministrazione se è quello predefinito. Poi controllate che sul server sia attivo un web application firewall (WAF). Già questi due semplici accorgimenti bloccano la stragrande maggioranza delle scansioni automatiche dall'esterno.

Sul nostro sito uno strumento simile aveva trovato cinque vulnerabilità critiche. L'ho fatto controllare dal nostro programmatore e quattro erano falsi allarmi, solo una riguardava un vecchio plugin per i moduli di contatto. Ci abbiamo messo mezz'ora a toglierlo e metterne uno alternativo, senza spendere nemmeno un singolo Ruble.

i tool automatici di solito fanno come i robot si limitano a leggere gli header e via. mica si mettono a testare i form uno x uno x vedere se riescono a rubare dati. cioè prima di farsi prendere dal panico e buttare soldi secondo me dovreste provare con un altro scanner open source gratuito.

Come funziona la fase di pagamento sul vostro sito? Raccogliete i dati della carta direttamente tramite un modulo sul sito o reindirizzate il cliente alla pagina esterna della banca? Se utilizzate un pagamento esterno non c'è alcun rischio di fuga dei dati della carta, a rischio sarebbe solo l'elenco degli indirizzi dei clienti.

Nota: ho scritto questo basandomi sulla mia esperienza, potrebbe non valere per tutti.

Riassumendo: non spendete subito 45.000 Ruble solo per gli avvisi in rosso nei report. La maggior parte delle vulnerabilità riguarda solo informazioni sulla versione e security header mancanti. Aggiornate i vostri software, abilitate l'autenticazione a due fattori e, se serve, chiedete il parere di un esperto solo per plugin specifici.

Ha ragione. Chiunque abbia fretta su audit di sicurezza del sito si blocca nello stesso punto.

Io seguirei questa strada.

Riassumo l'argomento perché sono state date diverse risposte. La sicurezza non è assoluta; significa rendere l'attacco non conveniente.

Se ricevete tre risposte diverse su un argomento la domanda è posta male. boh confermato dall'esperienza.

mi farebbe piacere se scrivesse il risultato.

Corretto. Se permessi e ambito non sono scritti, quel test non deve iniziare.

Questa è la mia opinione, non la scrivo come verità assoluta.

Mi sono rilassato leggendo questa risposta, quindi non succede solo a me. Gli ambienti di test dimenticati diventano spesso un punto d'accesso più frequente del sistema live.

Gli ambienti di test dimenticati diventano spesso un punto d'accesso più frequente del sistema live. Naturalmente cambia se la vostra situazione è diversa.

Preso nota, grazie.

Per un periodo ci siamo bloccati anche noi nello stesso punto. Se rimproverate i falsi allarmi, nessuno segnalerà più nulla.

Naturalmente cambia se la vostra situazione è diversa.

Ho vissuto la stessa cosa. Più è difficile tornare indietro su una decisione, più lentamente dovreste prenderla.

Vorrei fare una domanda. Se cerchi di cambiare tutto insieme, niente si stabilizza.

Separiamo i concetti vengono confusi. Le modifiche ai dati di pagamento non vanno mai verificate tramite il canale di provenienza.

Se cerchi di cambiare tutto insieme, niente si stabilizza. Spero che le sia utile.