Получили отчёт по пентесту в PDF с техническими таблицами, как превратить его в список правок?

Пусть вас не пугает толщина по количеству страниц. Минимум 50 из 75 страниц — это выводы стандартных автоматических сканеров и скопированные общие описания. Фирмы, проводящие тесты, показывают одно и то же предупреждение о заголовке безопасности как отдельную находку на пятидесяти разных страницах, чтобы счёт раздулся и всё выглядело солидно.

У нас в похожем отчёте было 42 находки. Мы уже готовы были в панике остановить весь спринт, но потом, разобравшись детально, увидели, что 28 из 42 пунктов — это просто информация и отсутствие низкоуровневых заголовков. Реально угрожали безопасности данных только две ошибки в логике авторизации, и их мы закрыли за три дня.

Сразу организуйте с тест-фирмой 45-минутную встречу по закрытию отчёта. В вашем договоре это право точно есть. Включите шаринг экрана и вместе с разработчиками послушайте вживую из их уст про высокие находки в отчёте; пусть ваши программисты напрямую спросят, как именно они вызывают эту дыру.

Базовый балл CVSS не всегда отражает реальный риск. Например, находка, которая требует, чтобы злоумышленник уже был авторизованным пользователем в системе, и удалённое выполнение кода без аутентификации могут получить похожий балл. Приоритет обязательно отдавайте дырам, которые можно вызвать снаружи, вообще без пароля.

у нас в команде тоже так было скопировали таблицу из pdf в таблицу, рядом открыли колонки статус имя разработчика и оценка трудозатрат. ну закрывали по одной и открывали ретест у тест-фирмы за две недели закончили.

Для аудиторов больничной сети, с которой вы будете заключать договор, важно не только то, что все находки обнулены. Обычно для корпоративного одобрения достаточно представить официальный план правок, показывающий, что критические дыры закрыты, а низкие риски привязаны к разумному графику исправления.

Когда мы впервые получили отчёт по пентесту, мы все почувствовали себя очень неполноценными; возникает ощущение, будто весь написанный нами код дырявый. Но со временем мы поняли, что по природе пентеста специалисты обязаны вписывать в отчёт даже мельчайшую деталь конфигурации которую смогли найти. Не подрывайте моральный дух команды, увидите, что большинство пунктов — это десятиминутная настройка сервера.

Хочу задать вопрос. Первые три месяца все идет хорошо, проблемы всплывают на четвертом.

Если не зафиксировать это письменно с самого начала, потом возникнут споры.

Появились три разных мнения, они дополняют друг друга. Любой пункт, не зафиксированный письменно, в будущем обе стороны будут помнить по-разному.

Я бы пошел этим путем.

Я бы не торопился. Главное не цифра а то на основе чего она получена.

Я бы пошел этим путем.

Здесь есть еще и аспект измерений. Доступность резервной копии в той же сети и под той же учетной записью делает ее частью цели атаки.

Я бы не торопился. Процесс, по которому не ведется учет, не улучшается, потому что вы не знаете, что именно улучшать.

На этом всё, извините, если затянул.

Позвольте подвести итог сказанному выше. Большинство инцидентов начинается не с уязвимости, а с украденного пароля.

Безопасность не бывает абсолютной; цель — сделать атаку нецелесообразной. На этом всё, извините, если затянул.

Расскажу, что было у меня вдруг пригодится. Меры, принятые без инвентаризации оставляют открытыми двери, о которых вы не знаете.

Исправьте если я ошибаюсь.

в этом пункте я с вами не согласен и когда пытаешься изменить всё сразу ничего не приживается.

это мое мнение не утверждаю, что оно единственно верное.

Верно.

По теме отчёт по пентесту так категорично говорить сложно. Изменение платежных данных никогда не подтверждается через тот же канал.

Удачи.

У нас так же... ну пытаться сделать это в одиночку — самый дорогой путь.

Безопасность не бывает абсолютной; цель — сделать атаку нецелесообразной. Это мое мнение, не утверждаю что оно единственно верное.