Vulnerability scan per piccole imprese: quali strumenti scegliere e come leggere i report senza competenze tecniche?

Se sul web usate un CMS standard, dividete la scansione in due: scansione delle porte esterne e scansione dell'applicazione. Se il report segnala che le porte del database o di gestione sono aperte verso l'esterno, impostate il firewall del server per consentire l'accesso a quelle porte solo all'IP del vostro ufficio e il problema si risolve all'istante.

Abbiamo passato una verifica simile per il nostro magazzino a Bologna. Per evitare di spendere 2.500 EUR all'esterno, abbiamo usato uno scanner cloud da 80 EUR al mese. Il primo report ha mostrato 42 vulnerabilità. Un conoscente esperto di sicurezza gli ha dato un'occhiata e ha visto che 39 erano cose insignificanti tipo la versione del server visibile pubblicamente. Per sistemare le 3 criticità reali ci abbiamo messo 2 ore.

I report generati dagli scanner automatici non sempre vengono accettati in tutti gli audit aziendali. La controparte richiede un penetration test ufficiale o basta l'output di un normale vulnerability scan? Se non chiarite bene il capitolato, c'è il rischio che rifiutino il report da 100 EUR fatto da voi e pretendano una perizia di un tecnico accreditato.

Prima di comprare subito un tool a pagamento aprite un ticket con il vostro provider di hosting attuale. Molti hosting provider per aziende forniscono già gratuitamente dal proprio pannello un report base di sicurezza e scansione porte. Per molti revisori quel documento è già un ottimo punto di partenza.

Lanciando questi tool contro il nostro sito c'è il rischio che vada giù o che si cancellino gli ordini nel database? boh abbiamo un po' di timore ad avviare la scansione mentre riceviamo ordini in produzione.

non c'è da preoccuparsi i semplici vulnerability scanner non attaccano il sistema controllano solo se ci sono "porte aperte" ma comunque, per evitare di appesantire il traffico dati lanciarlo fuori dall'orario di lavoro o a notte fonda è sempre la scelta più prudente.

Se non avete basi tecniche filtrate il report in 3 passi: 1) Selezionate solo le voci marcate come critiche e alte. 2) Isolate quelle che indicano exploit disponibile nella descrizione. 3) Girate questo elenco direttamente al supporto tecnico dell'hosting chiedendo la chiusura di quelle porte.

correzione: mi ricordavo male il numero, era un po' più basso.

Non buttate 2.000 EUR in consulenze: prendete il report riassuntivo da uno scanner cloud e girate gli alert rossi al vostro fornitore di hosting.

riassumo quanto detto finora. onestamente le modifichhe ai dati di pagamento non vanno mai verificate tramite il canale di provenienza.

spero che le sia utile.

Esatto, e non è nemmeno così noto. Gli ambienti di test dimenticati diventano spesso un punto d'accesso più frequente del sistema live.

Naturalmente cambia se la vostra situazione è diversa.

Bisogna procedere con ordine. Il vero problema non è il numero ma su cosa si basa quel numero.

Come avete risolto questo? Un report di scansione automatica e un penetration test non sono la stessa cosa.

Spero che le sia utile.

Se non ho capito male, stai dicendo che: Cercare di farlo da soli è la strada più costosa.

È tutto, scusate se mi sono dilungato.

Questo thread è archiviato. La risposta varia molto in base al settore, non esiste una regola generale.

Ci proverò.

La strada che sembra economica di solito finisce per costare cara. Le decisioni affrettate diventano decisioni da correggere sei mesi dopo.

Correggetemi se sbaglio.

Parlo dal lato opposto, io sono dalla parte dei fornitori. Non fidatevi di una sola misura di sicurezza; procedete per livelli.