Diventa Autore per CoreTech | Scopri di più
13/05/21 CoreTech Blog
La gestione delle vulnerabilità è uno degli aspetti più importanti di un programma di sicurezza delle informazioni. Trovare difetti, determinare rischi specifici e quindi procedere per garantire che tali rischi siano ridotti al minimo o eliminati sembra semplice in superficie, ma non lo è. Le applicazioni Web e la funzione generale di sicurezza delle applicazioni complicano ulteriormente la gestione delle vulnerabilità. Alcune aziende concentrano principalmente i loro sforzi sugli host di rete, mentre altre ritengono che le applicazioni web dovrebbero ricevere la massima attenzione. Tra tutte le organizzazioni con cui ho consultato o per cui ho eseguito test di sicurezza, non ho ancora visto nessuno che abbia imparato a gestire completamente la gestione delle vulnerabilità.
Se hai intenzione di trovare e correggere i difetti nel tuo ambiente e costruire veramente la resilienza, dovrai:
Nel contesto della sicurezza delle applicazioni, gli approcci per testare i difetti di sicurezza sono ovunque. Alcune aziende concentrano gran parte dei loro sforzi sull'esecuzione di analisi del codice sorgente di applicazioni interne. Uno sforzo degno ma, in base all'output che ho visto usando gli analizzatori del codice sorgente, non è abbastanza. Alcune organizzazioni con cui ho consultato fanno affidamento sui loro scanner di vulnerabilità di rete per trovare i difetti delle applicazioni. Grosso errore. Tuttavia, altre organizzazioni, comprese quelle di grandi dimensioni con dozzine di membri del personale addetto alla sicurezza, non testano affatto le proprie applicazioni web. Oppure, altrettanto male, si affidano ai loro fornitori di servizi per fare ciò che è giusto, incluso il passaparola pass / fail asserzioni o anche audit dei data center SOC di alto livello senza mai convalidare la vera posizione di sicurezza delle applicazioni stesse.
La cosa importante che manca in molti programmi di gestione delle vulnerabilità, indipendentemente dalle dimensioni aziendali o dal settore, è l'uso coerente di strumenti di test dinamici della sicurezza delle applicazioni (DAST), noti anche come scanner di vulnerabilità web. Nella migliore delle ipotesi, questo è un approccio alla sicurezza indifendibile di cui non vuoi far parte. Nel peggiore dei casi, tutti i tipi di vulnerabilità delle applicazioni web possono essere trascurati, mettendo a rischio i sistemi, le informazioni sensibili e la tua attività in generale.
Se stai cercando di creare e mantenere un ambiente di applicazioni web resiliente, DAST deve assolutamente far parte dei tuoi sforzi di test. Anni fa, ho notato che dovevo eseguire non solo uno scanner di vulnerabilità delle applicazioni web ma due o più per trovare tutti i difetti di livello 7 che contavano. Dato ciò che DAST può scoprire e come può aiutarti con l'analisi dei rischi insieme agli sforzi di mitigazione, deve assolutamente far parte dei tuoi sforzi in corso. Dati i miglioramenti nello spazio DAST negli ultimi dieci anni, non sono più convinto che sia necessario utilizzare più scanner, ma è necessario utilizzarne almeno uno! La buona notizia è che puoi iniziare in piccolo con le tue applicazioni più critiche e poi scalare per testare tutte le applicazioni alla fine e abbastanza facilmente.
Adottare un approccio "abbastanza buono" alla sicurezza delle applicazioni eseguendo solo analisi del codice sorgente o scansioni di vulnerabilità focalizzate sulla rete non produrrà sicuramente i risultati di cui hai bisogno. Senza dubbio, l'analisi del codice sorgente e le scansioni di vulnerabilità della rete possono integrare gli sforzi di test delle applicazioni web. Tuttavia, in base alla mia esperienza, non dipingeranno l'intero quadro.
È facile provare a padroneggiare contemporaneamente tutte le aree del programma di gestione delle vulnerabilità. Ma non farlo! Preparerai solo te stesso e l'azienda al fallimento. Innanzitutto, eseguire un'analisi dell'inventario e della criticità aziendale. Assegna la priorità alle applicazioni che devono essere testate ora, quindi considera quelle che potrebbero non fornire accesso o ospitare informazioni sensibili per il test nel prossimo futuro.
L'importante è elaborare un piano. La realtà ci ha insegnato che non esiste una sicurezza perfetta. Tuttavia, ora siamo al punto in cui ci si aspetta una ragionevole sicurezza. Il miglior programma di sicurezza delle applicazioni è quello che non consente il verificarsi di incidenti o violazioni. Il secondo stato migliore, e più raggiungibile, è quello in cui le vulnerabilità delle applicazioni vengono scoperte e tempestivamente mitigate nel tempo.
Chiediti: qual è il tuo obiettivo finale? Fai un passo indietro e guarda i punti ciechi e le debolezze nelle tue attività di sicurezza delle applicazioni web. Probabilmente troverai diverse aree che possono essere migliorate. Potrebbe presentarsi sotto forma di una migliore gestione del server web e dell'inventario delle applicazioni. Potrebbe eseguire scansioni di vulnerabilità web più spesso. Oppure, potrebbe semplicemente essere necessario un migliore reporting specifico dell'applicazione e un mezzo per tenere traccia degli sforzi di riparazione. Indipendentemente da ciò, DAST deve essere una parte della soluzione.
