Cerco strumenti di vulnerabilità assessment: cosa posso usare in autonomia in un team di 8 persone senza rompere nulla?

È fondamentale distinguere tra scansione attiva e passiva. Se collegate fuzzer aggressivi o moduli che sparano richieste a raffica su form web o pagine di login, il database andrà in blocco sicuro. Nelle scansioni delle porte a livello di rete tenete basso il rate di richieste al secondo. Lato web, poi, non fate mai girare la scansione sull'ambiente collegato al DB di produzione, ma su un ambiente di staging che sia una replica esatta.

Con un report di scansione fatto in casa non supererete mai l'audit di un cliente enterprise tedesco. Nessun auditor accetterà mai un "abbiamo fatto la scansione interna ed è tutto pulito", esigono una firma e una metodologia indipendenti. Tra l'altro, gran parte del report di cento pagine generato dal tool saranno solo falsi positivi o avvisi irrilevanti, e per scremarli serve la competenza di un esperto.

edit: ho scritto una cosa sbagliata sopra, scusate.

Per gestire la scansione in totale sicurezza seguite questi passaggi: 1) Fate un backup del database di produzione, ripristinatelo in un ambiente di test e puntate la scansione esclusivamente verso questo indirizzo di test. 2) Limitate il rate limit del tool di scansione a un massimo di 3-5 richieste al secondo. 3) Prima di avviare la scansione, tenete aperta una dashboard per monitorare in tempo reale l'utilizzo delle risorse del server.

l'anno scorso ci abbiamo provato in produzione e tramite il form contatti si sono aperti 800 ticket di supporto vuoti in due ore. i sistemi di notifica sono andati in tilt quindi escludete assolutamente i campi dei form dalla scansione oppure lavorate su un server di test.

Quando installate motori gratuiti e open source, adottate assolutamente queste tre precauzioni: 1) Selezionate solo la modalità di raccolta informazioni e analisi passiva, disattivando i test di exploit o denial of service. 2) Inserite in blacklist i link dei form che inviano e-mail o attivano SMS. 3) Avviate la scansione fuori dall'orario di lavoro, a notte fonda.

Nel nostro team di otto persone eseguiamo una scansione automatica settimanale delle dipendenze. La prima volta che l'abbiamo configurata sono saltate fuori 14 vulnerabilità critiche nei pacchetti esterni che usavamo. Le abbiamo risolte tutte in 3 giorni semplicemente aggiornando le versioni, riducendo drasticamente il rischio senza dover inviare nemmeno un singolo pacchetto di test al server.

Quando installiamo ed eseguiamo questi tool sul server, rimane qualche file permanente o software agente che potrebbe creare falle di sicurezza, oppure una volta finita la scansione torna tutto esattamente come prima?

Non toccate minimamente la macchina di produzione. Eseguite sul vostro computer locale un tool open source di analisi statica del codice (SAST) per il vostro codebase. Per quanto riguarda il sistema operativo del server, basta lanciare il comando del gestore pacchetti che elenca gli aggiornamenti di sicurezza. A rischio zero avrete già risolto metà del lavoro.

Ha ragione.

Nel nostro caso è andata così. Le soluzioni che funzionano su piccola scala crollano quando si cresce, l'ho imparato tardi.

La discussione si è dispersa, la riassumo. Non abbiate paura di chiedere, chi non chiede paga sempre di più.

La maggior parte degli incidenti non inizia da una vulnerabilità, ma da una password trapelata.

Preso nota, grazie.

Riassumo quanto detto finora. Quando prendete una decisione, scrivete anche lo scenario peggiore, non solo quello migliore.

Direi di non avere fretta. Le modifiche ai dati di pagamento non vanno mai verificate tramite il canale di provenienza.

Scusate, ma questo non vale in ogni caso. Le modifiche ai dati di pagamento non vanno mai verificate tramite il canale di provenienza.

Correggetemi se sbaglio.

Scusate, ma questo non vale in ogni caso. Il vero problema non è il numero, ma su cosa si basa quel numero.

Sono d'accordo.

C'è una parte che non ho capito. La sicurezza non è assoluta; significa rendere l'attacco non conveniente.

Il vero problema non è il numero, ma su cosa si basa quel numero. Buon lavoro.