Abbiamo testato dei tool di pentest per cercare falle sul nostro server — dobbiamo fidarci dei risultati e farci prendere dal panico?

Sono in questo settore da anni, non esiste persona che lanci uno scanner automatico e non veda decine di falle critiche a schermo. Questi tool sono pensati per spaventare lo sviluppatore e prepararlo allo scenario peggiore. Niente panico, spiegate al vostro capo che si tratta di un controllo preliminare e che non ogni avviso è un pericolo reale.

Filtro da applicare subito: fate una scansione porte dal vostro IP pubblico. Non mettete in cima alla lista nessun avviso relativo a servizi non raggiungibili da Internet. Controllate solo le porte web o la porta VPN esposte all'esterno: la vostra lista si ridurrà all'istante del novanta per cento.

Avete lanciato la scansione dall'interno della stessa rete locale del server o da una linea internet esterna del tutto indipendente? Se avete scansionato dalla rete interna, il tool potrebbe aver interpretato tutti gli accessi aziendali interni come attacchi esterni gonfiando a dismisura i risultati.

Il mese scorso abbiamo ottenuto 85 avvisi critici sul nostro server in una scansione simile. Li abbiamo verificati uno per uno per tre giorni: solo 2 erano davvero sfruttabili da remoto, i restanti 83 erano falsi allarmi dovuti al banner della versione.

i tool di automazione di solito generano solo rumore. nascondete le info di versione dagli header di risposta del web server e rifate la scansione; vedrete ke la metà degli avvisi sparirà solo x aver nascosto quell'header.

Credere di fare un pentest premendo un pulsante con tool gratuiti è un grosso errore. Questi strumenti sono solo una checklist superficiale. Un vero pentest consiste nel testare a mano se quella vulnerabilità possa essere effettivamente usata per la privilege escalation o per l'esfiltrazione di dati.

Pulite il report seguendo questi tre passaggi: 1) Eliminate dal report i servizi non esposti all'esterno, 2) Controllate se per le vulnerabilità rimanenti circolano exploit pubblici online, 3) Disabilitate i banner di versione e applicate gli aggiornamenti di sicurezza del sistema operativo.

correzione: mi ricordavo male il numero, era un po' più basso.

Pensavo di fare anch'io una scansione simile, ma cosa significa esattamente falso positivo? Nel senso, il tool dice che c'è una falla ma in realtà si sbaglia xké mai dovrebbe mostrare come presente una falla che non c'è?

breve riassunto per i nuovi arrivati: Da noi la cosa che faceva perdere più tempo era non sapere chi decidesse.

Ti seguo. Il fatto che tutti facciano una cosa non significa che sia quella giusta.

Se scrivete qui il risultato sarà utile anche ad altri.

Ho vissuto la stessa cosa due anni fa. Gran parte del tempo perso si accumula nelle pratiche in attesa di approvazione.

Questa è la mia opinione, non la scrivo come verità assoluta.

Grazie mille, era la risposta che cercavo. Nessun processo migliora senza tracciamento, perché non sai cosa correggere.

Sono curioso di sapere se qualcuno lo fa in modo diverso.

argomeento molto attuale.

Scrivo questo per evitare che facciate lo stesso errore. Avere il backup accessibile sulla stessa rete e con le stesse credenziali lo rende parte del bersaglio.

Se il percorso di notifica è lungo la notifica non arriva; una notifica mancante significa un evento scoperto tardi. Naturalmente cambia se la vostra situazione è diversa.

Dopo aver vissuto questa cosa, il mio punto di vista è cambiato. Prendere misure senza fare un inventario lascia aperta una porta che non vedi.

Spero che le sia utile.

Hai fatto bene ad aprire questo thread.

La discussione si è dispersa, la riassumo. Le persone difendono le abitudini, non i processi. La resistenza nasce da lì.

Questa è la mia opinione, non la scrivo come verità assoluta.

Vi spiego come si fa in pratica. Se ricevete tre risposte diverse su un argomento, la domanda è posta male.

Se non lo rendete scritto fin dall'inizio, poi nascono discussioni. Confermato dall'esperienza.