Сканирование уязвимостей в малом бизнесе: какие инструменты выбрать и как читать отчёты, если мы не технари?

Если на веб-стороне вы используете готовую CMS, разделите сканирование на внешнее сканирование портов и сканирование приложения. Если в отчёте написано, что порты базы данных или администрирования открыты наружу, пропишите эти порты в серверном файрволе только для IP вашего офиса — проблема сразу решится.

На нашем складе в Болонье мы прошли похожую проверку. Чтобы не отдавать 2.500 EUR на сторону, мы запустили облачный сканер, за который платим 80 EUR в месяц. В первом отчёте вышло 42 уязвимости. Когда знакомый, разбирающийся в безопасности, посмотрел, оказалось, что 39 из них — мелочи вроде не скрытой версии сервера. На закрытие реальных 3 уязвимостей ушло 2 часа.

Отчёты которые выдают автоматические сканеры, могут не считаться действительными при каждой проверке корпоративных компаний. Что хочет другая сторона — официальный пентест или просто стандартный вывод сканирования уязвимостей? Если не уточните техзадание, они могут не принять вашу бумажку о сканировании за 100 EUR и навязать отчёт аккредитованного специалиста.

Прежде чем сразу покупать платный инструмент, откройте тикет в поддержку вашего текущего хостинг-провайдера. Многие корпоративные хостинг-провайдеры и так бесплатно дают базовый отчёт по безопасности и сканированию портов через свои панели. Для многих проверяющих этого документа достаточно как отправной точки.

Есть ли риск что при запуске этих инструментов по нашему сайту он упадёт или заказы в базе данных удалятся? Мы боимся запускать сканирование когда на живом сайте идут заказы.

бояться не нужно, чистые сканеры уязвимостей не атакуют вашу систему, они просто проверяют дверные ручки — есть ли открытая дверь но ну и всё же чтобы не нагружать трафик данных, запускать сканирование вне рабочих часов, в полночь, всегда безопаснее.

Если у вас нет технических знаний, отфильтруйте пришедший отчёт в 3 шага: 1) Отметьте только пункты со статусом критический и высокий. 2) Отберите строки, где в описании написано, что есть готовый эксплойт. 3) Передайте этот список напрямую в техподдержку компании, у которой арендуете сервер, и попросите закрыть эти порты.

исправление: ошибся в цифре, было чуть меньше.

Не привязывайте 2.000 EUR к консультанту; действуйте так — передайте красные предупреждения из сводного отчёта облачного сканера вашему хостинг-провайдеру.

позвольте подвести итог сказанному выше. в общем изменение платежных данных никодга не подтверждается через тот же канал.

надеюсь, это будет полезно.

Именно так, и при этом об этом мало кто знает. Забытые тестовые среды становятся входом в систему чаще, чем продакшн.

Конечно, если ваша ситуация отличается, всё меняется.

Нужно идти по порядку. короче главное не цифра, а то, на основе чего она получена.

А как вы решили этот вопрос? Автоматический отчет о сканировании и пентест — это не одно и то же.

Надеюсь, это будет полезно.

Если я правильно понял, вы имеете в виду следующее: Пытаться сделать это в одиночку — самый дорогой путь.

На этом всё, извините если затянул.

Эта тема в архиве. Ответ сильно зависит от отрасли, универсального правила нет.

Попробую.

Дешевый на вид путь обычно выходит дороже в итоге. Спешка в решениях оборачивается исправлениями через полгода.

Исправьте, если я ошибаюсь.

Посмотрю с другой стороны, я на стороне поставщика. Не полагайтесь на одну меру защиты; действуйте слоями.