Consigli per scrivere la mia prima recensione sulla sicurezza delle applicazioni

Any general advice based on the above?

Parla con le persone che potrebbero essere ferite da un potenziale attacco al sistema: direttamente o indirettamente. Capire quali sono le loro preoccupazioni e fargli sapere che farai del tuo meglio per proteggere i loro archivi e la loro privacy. In qualità di rappresentante della sicurezza, il tuo compito è proteggere le risorse (dati personali, ecc.) Dalle minacce. La tua migliore soluzione incentrata sulla sicurezza emergerà una volta dopo aver compreso cosa stai proteggendo.

Cerca le vulnerabilità, ma non diventare troppo dettagliato. Ci saranno sempre delle vulnerabilità molto tecniche complicate, ma in molti incidenti sono le vulnerabilità relativamente semplici che vengono sfruttate. Riceverai poche critiche per la mancanza di una vulnerabilità che richiede un aggressore sofisticato altamente specializzato, ma ne otterrai molte per mancanza delle semplici vulnerabilità.

Pensa alla sicurezza operativa. In un sistema per lo più chiuso, la minaccia interna rappresenta una preoccupazione significativa. La rotazione del lavoro è un ottimo metodo dove pratico. Cerca modi per segmentare o suddividere i dati in modo che, in caso di violazione o perdita, il danno sia limitato.

Should I write a security review or hardening guide?

Penso che dovresti concentrarti sulla revisione della sicurezza. Ci sono risorse di sicurezza per le varie versioni di Windows, e spero che ci siano degli amministratori competitivi che eseguono questi sistemi Windows.

Are there some good examples of similar types of reviews?

Sto parlando dal contesto dell'esperienza di un collega e come tale dovrebbe essere trattato come informazione di terzi, tipicamente le organizzazioni che ti assumono per fare un pen-test si aspettano qualche forma di documento che enumeri i problemi che sono stati trovati e le rimedi dei sistemi. Qualcosa che hai detto ha sollevato preoccupazione:

I'm thinking that this would be a technical review (similar a published journal article) un-requested by the vendor

Se fossi questo venditore, farei immediatamente causa e garantirò che la tua azienda abbia perso tutte le licenze che avrei potuto farle perdere. È a discrezione del cliente e del contratto che è stato firmato. Vorrei esaminare le guide di indurimento fornite da DISA (STIGS offre un modo pratico per presentare una guida di tempra). L'unica cosa che posso dire con grande sicurezza è rivedere il contratto che è stato fornito alla tua azienda e andare da lì.