Ha più senso acquistare strumenti di scansione delle vulnerabilità o prenderli come servizio in outsourcing?

Noi due anni fa abbiamo comprato la licenza per 4.800 dollari, con circa 60 endpoint. Alla prima scansione ha sparato 340 vulnerabilità critiche e alte. Due sviluppatori senior sono rimasti bloccati per tre settimane solo a decifrare l'output, e alla fine oltre la metà erano falsi allarmi legati alle configurazioni. La licenza costava 4.800 dollari, ma in ore/sviluppo ce ne sono partiti almeno 10.000.

Occhio quando comprate il servizio all'esterno: molte società di consulenza si limitano ad avviare lo stesso identico tool enterprise che potreste comprare voi, incollano il loro logo sul PDF e ve lo rivendono. Se esternalizzate, fate inserire tassativamente a contratto la validazione manuale e il filtraggio dei falsi positivi, altrimenti buttate via i soldi.

Se comprate lo strumento dovrete gestire la differenza tra scansioni autenticate (credentialed) e scansioni di rete perimetrali. Installerete dei software agent o vi limiterete a scansionare gli IP pubblici? Senza competenze interne, la sola configurazione degli agent e la gestione dei relativi privilegi rischiano di introdurre ulteriori vulnerabilità di sicurezza.

Nel prendere una decisione, valutate questi tre punti: 1) Il vostro team ha il tempo di interpretare i punteggi CVSS e l'effettiva sfruttabilità delle vulnerabilità? 2) I vostri clienti richiedono la firma di un auditor terzo indipendente? 3) Farete una scansione solo 4 volte all'anno o la integrerete nei processi di continuous delivery? Per 4 volte all'anno, una licenza interna è del tutto insostenibile.

anche noi avevamo lo stesso dilemma e abbiamo comprato il tool il primo mese scansioni a manetta tutti presi bene e poi nessuno l'ha piu cagato, la dashboard si e riempita di alert rossi. se nn avete risorse interne conviene al 100% prendere il servizio e togliersi il pensiero.

se installassimo sui nostri server dei tool di vulnerability assessment open source e gratuiti, non basterebbe a soddisfare lo standard di reportistica aziendale richiesto dai clienti? qual è esattamente la differenza principale?

Rispondo anche alla domanda del collega meno esperto: i tool open source vanno benissimo per l'analisi tecnica, ma i clienti enterprise di solito esigono che il report sia conforme a standard riconosciuti e rechi una firma aziendale. Nelle vendite B2B gli auditor controllano con quale metodologia sia stato generato il report. Presentare un report autoprodotto e non certificato rischia di bloccare le trattative commerciali.

Chiedete all'azienda a cui richiedete il preventivo se nel servizio trimestrale è inclusa un'ora di remediation call. Invece di sbattere semplicemente i risultati della scansione in faccia agli sviluppatori far spiegare loro da un consulente come risolvere le prime tre vulnerabilità prioritarie vi velocizzerà il lavoro in maniera incredibile.

Ci proverò.

La discussione si è dispersa, la riassumo. Gran parte del tempo perso si accumula nelle pratiche in attesa di approvazione.

È tutto, scusate se mi sono dilungato.

Sono della stessa opinione. Se permessi e ambito non sono scritti, quel test non deve iniziare.

Se avete domande, scrivete, rispondo per quanto possibile.

vorrei fare una domanda. non fidatevi di una sola misura di sicurezza; procedete per livelli.

è tutto scusate se mi sono dilungato.

Anche da noi è così.

Per un periodo ci siamo bloccati anche noi nello stesso punto. Cercare di farlo da soli è la strada più costosa.

Lascio una nota, potrebbe servire.

L'anno scorso abbiamo vissuto quasi la stessa cosa. Chiunque abbia fretta su strumenti di scansione delle vulnerabilità si blocca nello stesso punto.

Nessun processo migliora senza tracciamento perché non sai cosa correggere. cioè lascio una nota potrebbe servire.

Non ho alcuna esperienza in materia di strumenti di scansione delle vulnerabilità, quindi chiedo. Prendere appunti per due settimane dà risultati migliori rispetto a una stima di sei mesi.

Lascio una nota, potrebbe servire.

Il mio dubbio è stato chiarito, grazie.

Mi chiedo anch'io. Se il percorso di notifica è lungo, la notifica non arriva; una notifica mancante significa un evento scoperto tardi.