Вчера получил отчет о пентесте. Пытался прочитать, запутался. На некоторых уязвимостях написано «Low», на некоторых «Medium», а в конце два «High» риска.
Например, на одной написано «SQL injection possible», на другой — «outdated SSL version». Одна выглядит очень серьезной, но обе помечены как «high» риск. Сколько уязвимостей нужно исправить?
Отправил разработчику теперь спорим «что это значит». Один говорит «не страшно», другой — «надо закрывать сайт». Как мне интерпретировать отчет?
Оценка рисков основана на стандарте CVSS. «High» риск означает, что если уязвимость будет использована, это может привести к серьезному ущербу.
SQL Injection: базу данных могут полностью захватить, клиентские данные украсть — однозначно High. Старая версия SSL: шифрование соединения может быть слабым, но это тоже надо решать.
Приоритет: 1) Все High risk — как можно скорее, 2) Medium risk — в течение месяца, 3) Low risk — добавить в бэклог.
sql injection это серьезная проблема, шифрование соединения и прочее считается низкими рисками. короче я бы исправил high risk'и на этой неделе
В вашем отчете есть страница 'executive summary'. Вверху написано, сколько High, сколько Medium. Начинайте оттуда.
Некоторые фирмы искусственно завышают оценки рисков, чтобы накрутить цену за 'повторное тестирование'. Если там написано SQL injection, откройте код и проверьте, есть уязвимость или нет.
В рамках риск-менеджмента устранение уязвимостей с оценкой High является требованием законодательного соответствия. Даже если у вас есть полис киберстрахования, страховое покрытие может быть аннулировано, если вы не устраните уязвимости, о которых вас явно предупредили.
У меня было наоборот, поэтому и пишу. Спешка в решениях оборачивается исправлениями через полгода.
Удачи.
Я столкнулся с тем же два года назад. Если ругать за ложные тревоги, никто больше не будет присылать уведомления.
На этом всё, извините, если затянул.
Doki · Настройка управления логами · 2024
Я столкнулся с тем же два года назад. Процесс, по которому не ведется учет, не улучшается, потому что вы не знаете что именно улучшать.
Проверено опытом.
Появились три разных мнения, они дополняют друг друга. Большая часть потерь времени копится на задачах, ожидающих согласования.
Я бы пошел этим путем.
позвольте подвести итог сказанному выше. кстати то что делают все, не значит что это правильно.
удачи.
Doki · Интерфейсный дизайн · 2026
В прошлом году мы столкнулись практически с тем же самым. Две недели ведения заметок дают лучший результат, чем шестимесячные прогнозы.
Решения работающие в малом масштабе, рушатся при росте, я узнал это слишком поздно. Надеюсь, это будет полезно.