Il report del penetration test dice 'risolvere entro 30 giorni' — operativamente cosa significa rimediare alle vulnerabilità?

Fate attenzione ai punteggi CVSS nel report. I valori pari o superiori a 7.0 sono considerati alti o critici. Di solito riguardano problemi di autenticazione e falle note su librerie datate. I vostri programmatori dovrebbero concentrarsi subito sull'aggiornamento delle librerie e sui filtri di validazione dell'input.

Abbiamo passato un audit simile pure noi. Su 12 rilievi, 4 erano alti. I dev hanno congelato lo sviluppo per due settimane lavorando solo su quello. I 3 problemi di infrastruttura li abbiamo sistemati in 2 giorni con le regole del firewall sul cloud. L'azienda di sicurezza ha fatto la verifica 5 giorni dopo rilasciandoci il report pulito.

La richiesta del cliente di chiudere tutto in 30 giorni è un po' una formalità burocratica. Voci a basso impatto come information disclosure minori o banner con le versioni visibili non creano veri rischi operativi. Concentrate gli sforzi sui pericoli di data breach che possono impattare davvero il cliente.

Contattate subito l'azienda che ha eseguito il penetration test e verificate se nel contratto è previsto il diritto a un re-test. Se c'è, segnatevi chiaramente sul calendario la data di scadenza entro cui completare i fix e richiedere il test.

I passaggi fondamentali per la risoluzione delle vulnerabilità: 1) Dividete i risultati tra falle nel codice e vulnerabilità di server/rete, 2) Date la priorità a quelle con punteggio CVSS pari o superiore a 7, 3) Per ogni vulnerabilità corretta nel codice, fate eseguire uno scenario di test ai vostri sviluppatori, 4) Una volta completati i fix, richiedete una lettera di attestazione ufficiale alla società di test.

quando si vede un report così corposo per la prima volta si rischia di farsi prendere dal panico, è del tutto normale. metà del documento è composto da screenshot e definizioni generiche. boh se vi mettete a guardarlo a mente lucida vi renderete conto che si tratta di errori di logica che i vostri dev riescono a ripulire in 1-2 settimane.

lato server di solito si trratta solo di sistemare la configurazione ma gli errori di logica lato codice possono richiedere tempo ma non esitate a fare domande dirette a chi ha fatto il test, sono tenuti a spiegarvi i dettagli del problema.

Riassumendo: il codice lo sistema il vostro team, i settaggi del server li fate dal pannello cloud. In 30 giorni chiudete le vulnerabilità critiche/alte e spiegate le soluzioni temporanee adottate; alla fine fate rifare il test alla stessa società di sicurezza e consegnate al cliente l'attestazione pulita.

correzione: mi ricordavo male il numero, era un po' più basso.

Lascio un avvertimento. Se è la prima volta, inizia in piccolo, il ridimensionamento viene dopo.

Io seguirei questa strada.

Lo sentiamo dire da tempo, ma da noi non è mai andata così. Quando decidiamo senza misurare, finiamo sempre nello stesso punto.

Io seguirei questa strada.

se volete procedere così risolvete questo punto fin dall'inizio. boh le decisioni affrettate diventano decisioni da correggere sei mesi dopo.

io seguirei quetsa strada.

Racconto la mia esperienza. Il vero problema non è il numero ma su cosa si basa quel numero.

Naturalmente cambia se la vostra situazione è diversa.

Sono nella stessa situazione, per questo chiedo. Le soluzioni che funzionano su piccola scala crollano quando si cresce, l'ho imparato tardi.

Il fatto che tutti facciano una cosa non significa che sia quella giusta. Io seguirei questa strada.

Se scendiamo nei dettagli: Inizia con un piccolo test, non impegnarti subito su tutto.

non ho alcuna esperienza in materia di cos'è la risoluzione delle vulnerabilità quindi chiedo. insomma inizia con un piccolo test, non impegnarti subito su tutto.

se avete domande scrivete rispondo per qunato possibile.

Esatto, e non è nemmeno così noto. Se la verifica in due passaggi è attiva, una password rubata da sola non serve a nulla.

È tutto, scusate se mi sono dilungato.

Ti seguo.

La discussione si è dispersa, la riassumo. Le soluzioni che funzionano su piccola scala crollano quando si cresce, l'ho imparato tardi.

Correggetemi se sbaglio.