Impostazione delle aspettative di una valutazione della vulnerabilità?

Question

Impostazione delle aspettative di una valutazione della vulnerabilità?

#1 da (4 voti)

2

È ragionevole rifiutarsi di garantire che troverai il 100% dei problemi di sicurezza quando esegui una valutazione della vulnerabilità su un sito web?

Anche con aziende come Google che hanno team di professionisti della sicurezza, una vulnerabilità di sicurezza occasionale sfugge. Esistono anche problemi di sicurezza zero day con software di terze parti che non sono realisticamente reperibili quando si effettua una valutazione della vulnerabilità.

Considerato quanto sopra, qual è una posizione ragionevole da prendere quando si effettua una valutazione della vulnerabilità relativa alla ricerca di tutte vulnerabilità della sicurezza?

web-application appsec penetration-test

posta Abe Miessler 11.10.2013 - 00:03

fonte

1 risposta

Leggi altre domande sui tag web-application appsec penetration-test

Esiste una crittografia simmetrica come AES o Camelia con chiavi più lunghe di 256 bit? Se Access-Control-Allow-Origin dovrebbe essere specifico per il dominio

score 4 · Accepted Answer

Dal punto di vista di InfoSec è perfettamente ragionevole. Nessun chirurgo può (o dovrebbe!) Garantire un funzionamento sicuro al 100%, nessun avvocato può garantire la condanna o l'assoluzione.

Naturalmente, il cliente non vuole che i professionisti di InfoSec prendano i loro soldi e si nascondano dietro a quella clausola nel loro contratto, se qualcosa dovesse oltrepassare l'audit.

Suggerirei che la soluzione al problema è esattamente ciò che hai menzionato, impostando le giuste aspettative. Il cliente deve aspettarsi che il team di InfoSec faccia il suo meglio per rilevare le vulnerabilità comuni e facilmente sfruttate. Ci sono molti modi per segnalare che hai veramente intenzione di fare del tuo meglio.

Garanzie finanziarie specifiche per l'ambito della richiesta di controllo: ad es. Rimborso del 100% per un'iniezione SQL sfruttata dopo l'audit.
Garanzie di reputazione : ad es. "Protetto da ACME InfoSec" sul proprio sito Web, in modo che il professionista di InfoSec abbia un interesse acquisito nel mantenere il sito sicuro.
Garanzie di controllo multiplo : ad es. Offrire di avere una ditta InfoSec concorrente fornisce una seconda opinione per il confronto.
Testimonianza : da altri clienti che hai aiutato in passato.
Prova di lavoro : dimostra l'efficacia effettiva dei tuoi consigli. per esempio. Attuatori di penne indipendenti attaccano prima e dopo l'implementazione delle raccomandazioni.

Naturalmente, tutto dipende da un cliente che comprende che le uniche certezze della vita sono la morte e le tasse.

Per quelli che insistono su garanzie al 100%, potresti certamente fornire quelli che rientrano nel campo di applicazione (punto 1 sopra). Potresti (e dovresti) includere una clausola di responsabilità massima - ad es. il massimo che dovrai pagare è $ x.