Прогнали пентест-утилиты по своему серверу: стоит ли верить результатам и сразу паниковать?

Сколько лет в этой сфере работаю, еще не видел человека, который запустил бы автосканер и не получил простыню из критических алертов. Эти тулы специально так написаны, чтобы напугать разраба и заложить худший сценарий. Спокойно объясните руководству, что это первичный чек-лист, а не список готовых взломов.

Фильтр на скорую руку: просканируйте свой внешний IP. Все сервисы, к которым нет доступа из интернета сразу вычеркивайте из приоритетов. Смотрите только открытые веб-порты или VPN-шлюзы — список сразу похудеет процентов на девяносто.

Сканировали из той же локалки, где стоит сервер, или с внешнего провайдера? Если изнутри сети, сканер мог посчитать все корпоративные доступы за внешнюю атаку, отсюда и такие раздутые цифры.

В прошлом месяце сами словили 85 критических алертов на похожем прогоне. Три дня сидели разбирали: реально эксплуатируемыми снаружи оказались ровно 2 штуки, остальные 83 — ложные тревоги тупо по номеру версии.

автоматика вечно шумит. скройте версии в хедерах веб-сервера и запустите еще раз, сразу половина алертов испарится просто потому что баннеров больше нет.

Нажать кнопку в бесплатной утилите и думать, что провели пентест — большое заблуждение. Это просто поверхностный сканер. Настоящий пентест — это когда руками пробуют раскрутить уязвимость до повышения привилегий или утечки данных.

Почистите отчет в три шага: 1) отсеките сервисы без внешнего доступа, 2) гляньте, есть ли в сети публичные эксплойты под оставшиеся дыры, 3) отключите выдачу баннеров версий и накатите свежие патчи ОС.

исправление: ошибся в цифре, было чуть меньше.

Тоже собирался погонять сканеры, а что именно значит ложное срабатывание? ну в смысле сканер находит дыру которой на самом деле нет а зачем он тогда ее показывает?

краткое резюме для новичков: Болье всего времени у нас уходило на то что было непонятно, кто принимает решения.

Слежу за темой. То, что делают все, не значит, что это правильно.

Если напишете результат здесь это поможет и другим.

Я столкнулся с тем же два года назад. Большая часть потерь времени копится на задачах, ожидающих согласования.

Это мое мнение, не утверждаю, что оно единственно верное.

Спасибо, это именно то, что я искал. Процесс, по которому не ведется учет, не улучшается, потому что вы не знаете, что именно улучшать.

Интересно, есть ли те, кто делает иначе.

очень актуалная тема.

Пишу это, чтобы вы не совершили ту же ошибку. Доступность резервной копии в той же сети и под той же учетной записью делает ее частью цели атаки.

Если путь уведомления длинный, уведомление не приходит; а не пришедшее уведомление — это поздно обнаруженный инцидент. Конечно, если ваша ситуация отличается, всё меняется.

После того случая мой взгляд на вещи изменился. Меры, принятые без инвентаризации, оставляют открытыми двери, о которых вы не знаете.

Надеюсь, это будет полезно.

Хорошо, что вы создали эту тему.

Обсуждение размылось, давайте структурируем. Люди защищают не процесс, а привычку. Сопротивление идет оттуда.

Это мое мнение, не утверждаю, что оно единственно верное.

Расскажу, как это делается на практике. Если на один вопрос вы получаете три разных ответа, вопрос задан неправильно.

Если не зафиксировать это письменно с самого начала, потом возникнут споры. Проверено опытом.