Come fare un test di sicurezza del sito da soli, cosa controllare prima di un pentest?

Fare un primo test da soli è un'ottima mossa. Se avviate un pentest quando sul server ci sono falle banali e note, nel report finale vi ritroverete pagine e pagine in cui vi dicono solo che non avete aggiornato i software, buttando via soldi. Prima chiudete le porte a chiave da soli, poi fate intervenire l'esperto per provare a forzare le serrature.

L'anno scorso eravamo nella stessa situazione. Non potevamo stanziare 4.000 EUR di budget, così prima ci abbiamo lavorato su per 3 giorni aggiornando tutti i pacchetti software e sistemando gli header HTTP. Poi il test a perimetro ridotto che abbiamo commissionato è costato 1.800 EUR, proprio perché l'esperto ha trovato un sistema già pronto e in ordine.

Fate subito questa prova stasera: create due diversi utenti B2B di test nel sistema. Accedete con uno e create un ordine, copiate l'ID dal link dell'ordine generato e provate ad aprirlo nel browser dell'altro utente. Se vedete i dati dell'altro, avete già trovato gratis la vostra falla più grande.

Non fate troppo affidamento sugli scanner di sicurezza open source scaricabili da internet. Di solito generano migliaia di falsi allarmi il vostro dev non saprà più da dove iniziare per sistemarli e rischierà di perdersi le vere falle critiche di autorizzazione.

La checklist minima che potete fare in autonomia è questa: 1) Evitate che nei messaggi di errore compaiano le versioni del software server e del database. 2) Inserite un rate limit nella schermata di login contro i tentativi di brute force. 3) Assicuratevi che i file di backup del database non siano stati dimenticati nelle directory pubbliche.

Il vostro dev non si faccia problemi online ci sono ottimi siti di analisi gratuiti che assegnano un punteggio agli header di sicurezza. Inserisci l'URL del sito e ti danno un voto da A a F. Anche solo lavorare per portare quel voto ad A rimette parecchio in sesto il sistema.

gli account di test dimenticati e le password deboli nel pannello admin aprono la porta a piu della meta degli attacchi esterni prima della scansione automatica controllate le password di tutti e la 2fa fidatevi.

Eseguite assolutamente i vostri test al di fuori dell'orario di lavoro e su una copia di backup del sistema di produzione. Un carico elevato di richieste automatiche può causare blocchi del database o interruzioni di servizio nell'ambiente live.

Vorrei fare una domanda. Se cerchi di cambiare tutto insieme, niente si stabilizza.

Questa è la mia opinione, non la scrivo come verità assoluta.

Preso nota, grazie. Ogni punto non scritto è un punto che in futuro le due parti ricorderanno diversamente.

Avere il backup accessibile sulla stessa rete e con le stesse credenziali lo rende parte del bersaglio.

Il punto più trascurato riguardo a test di sicurezza del sito è questo: Da noi la cosa che faceva perdere più tempo era non sapere chi decidesse.

Naturalmente cambia se la vostra situazione è diversa.

Riassumo quanto detto finora. Se rimproverate i falsi allarmi nessuno segnalerà più nulla.

Sono curioso di sapere se qualcuno lo fa in modo diverso.

Preso nota, grazie.

Riassumo l'argomento, perché sono state date diverse risposte. onestamente il vero problema non è il numero, ma su cosa si basa quel numero.

Se scrivete qui il risultato, sarà utile anche ad altri.

quanto scritto rispecchia esattamente ciò che abbiamo vissuto. se rimproverate i falsi allarmi nessuno segnalerà più nulla.

questa è la mia opinione, non la scrivo come verità assoluta.

Ci proverò.

riassumo l'argomento, perché sono state date diverse risposte.. e ogni punto non scritto è un punto che in futuro le due parti ricorderanno diversamente.

sono curioso di sapere se quacuno lo fa in modo diverso.

Argomento molto attuale.