Gli utenti dell'applicazione saranno i dipendenti dell'azienda che potranno accedervi tramite la rete aziendale e anche all'esterno. Un test di penetrazione deve essere fatto sull'ambiente di staging che sarà fatto da un diverso team all'interno della rete aziendale. Voglio sapere se vi sono rischi arroventati se l'ambiente di staging viene messo su Internet.
Vorrei assicurarmi che il team di test di penetrazione testasse sia l'accesso dalla rete interna sia da Internet. Esponendo un'applicazione a Internet, si facilita l'accesso a tale applicazione da parte degli agenti delle minacce (attaccanti), quindi sì, ciò influirebbe sul profilo di rischio dell'applicazione. Per calcolare il rischio, prendere in considerazione un approccio di modellazione delle minacce. È utile trovare OWASP un approccio utile.
Dipende principalmente dalla fiducia che riponi nell'ambiente di staging, ma nel caso generale, esporlo a Internet comporta dei rischi. Perché oltre al team che eseguirà i test, altri utenti malintenzionati potrebbero accedere all'applicazione e, se scoprono che le vulnerabilità li sfruttano. Questa non sarebbe una grande sorpresa perché i test della penna non sono ancora stati fatti. Se l'ambiente di staging è isolato dalla rete interna configurandosi come DMZ, il rischio è limitato a questa piattaforma, ma se può accedere alla rete interna, può essere quindi utilizzato per attaccare altre macchine (interne), agendo di più o meno come un cavallo di Troia.
Se il team che dovrebbe eseguire il pen-test non ha accesso diretto alla rete interna, dovresti configurare una VPN sicura per consentire loro di accedere all'ambiente di staging, ma nessun altro.
Un utente malintenzionato potrebbe "mettere in pratica" i suoi exploit sulla copia di staging che spesso non viene monitorata / difesa fino a quando non hanno perfezionato i loro exploit, a quel punto possono rimuovere la tua applicazione live in un solo colpo.
Un altro rischio sarebbe se ci fosse qualche errore di configurazione e l'app di staging in realtà contenesse segreti che sarebbero validi sull'app live ad un certo punto. Recentemente ho riscontrato esattamente questo aspetto in un lavoro recente: l'app di staging ha utilizzato le stesse password per un servizio esterno come l'app live.
Leggi altre domande sui tag risk-management penetration-test