Contatta il reparto vendite 800 13.40.41 | Richiedi il Supporto Partner EN flag

Articoli

Icona delle News




DAST è una parte essenziale di un programma completo per la sicurezza delle applicazioni

13/05/21 CoreTech Blog

La gestione delle vulnerabilità è uno degli aspetti più importanti di un programma di sicurezza delle informazioni. Trovare difetti, determinare rischi specifici e quindi procedere per garantire che tali rischi siano ridotti al minimo o eliminati sembra semplice in superficie, ma non lo è. Le applicazioni Web e la funzione generale di sicurezza delle applicazioni complicano ulteriormente la gestione delle vulnerabilità. Alcune aziende concentrano principalmente i loro sforzi sugli host di rete, mentre altre ritengono che le applicazioni web dovrebbero ricevere la massima attenzione. Tra tutte le organizzazioni con cui ho consultato o per cui ho eseguito test di sicurezza, non ho ancora visto nessuno che abbia imparato a gestire completamente la gestione delle vulnerabilità.

Se hai intenzione di trovare e correggere i difetti nel tuo ambiente e costruire veramente la resilienza, dovrai:

  1. Usa buoni strumenti di test
  2. Usa questi strumenti al momento giusto
  3. Sfrutta tutte le funzionalità di tali strumenti e lavora continuamente per migliorare

Nel contesto della sicurezza delle applicazioni, gli approcci per testare i difetti di sicurezza sono ovunque. Alcune aziende concentrano gran parte dei loro sforzi sull'esecuzione di analisi del codice sorgente di applicazioni interne. Uno sforzo degno ma, in base all'output che ho visto usando gli analizzatori del codice sorgente, non è abbastanza. Alcune organizzazioni con cui ho consultato fanno affidamento sui loro scanner di vulnerabilità di rete per trovare i difetti delle applicazioni. Grosso errore. Tuttavia, altre organizzazioni, comprese quelle di grandi dimensioni con dozzine di membri del personale addetto alla sicurezza, non testano affatto le proprie applicazioni web. Oppure, altrettanto male, si affidano ai loro fornitori di servizi per fare ciò che è giusto, incluso il passaparola pass / fail asserzioni o anche audit dei data center SOC di alto livello senza mai convalidare la vera posizione di sicurezza delle applicazioni stesse.

Banner

La cosa importante che manca in molti programmi di gestione delle vulnerabilità, indipendentemente dalle dimensioni aziendali o dal settore, è l'uso coerente di strumenti di test dinamici della sicurezza delle applicazioni (DAST), noti anche come scanner di vulnerabilità web. Nella migliore delle ipotesi, questo è un approccio alla sicurezza indifendibile di cui non vuoi far parte. Nel peggiore dei casi, tutti i tipi di vulnerabilità delle applicazioni web possono essere trascurati, mettendo a rischio i sistemi, le informazioni sensibili e la tua attività in generale.

Se stai cercando di creare e mantenere un ambiente di applicazioni web resiliente, DAST deve assolutamente far parte dei tuoi sforzi di test. Anni fa, ho notato che dovevo eseguire non solo uno scanner di vulnerabilità delle applicazioni web ma due o più per trovare tutti i difetti di livello 7 che contavano. Dato ciò che DAST può scoprire e come può aiutarti con l'analisi dei rischi insieme agli sforzi di mitigazione, deve assolutamente far parte dei tuoi sforzi in corso. Dati i miglioramenti nello spazio DAST negli ultimi dieci anni, non sono più convinto che sia necessario utilizzare più scanner, ma è necessario utilizzarne almeno uno! La buona notizia è che puoi iniziare in piccolo con le tue applicazioni più critiche e poi scalare per testare tutte le applicazioni alla fine e abbastanza facilmente.

Adottare un approccio "abbastanza buono" alla sicurezza delle applicazioni eseguendo solo analisi del codice sorgente o scansioni di vulnerabilità focalizzate sulla rete non produrrà sicuramente i risultati di cui hai bisogno. Senza dubbio, l'analisi del codice sorgente e le scansioni di vulnerabilità della rete possono integrare gli sforzi di test delle applicazioni web. Tuttavia, in base alla mia esperienza, non dipingeranno l'intero quadro.

È facile provare a padroneggiare contemporaneamente tutte le aree del programma di gestione delle vulnerabilità. Ma non farlo! Preparerai solo te stesso e l'azienda al fallimento. Innanzitutto, eseguire un'analisi dell'inventario e della criticità aziendale. Assegna la priorità alle applicazioni che devono essere testate ora, quindi considera quelle che potrebbero non fornire accesso o ospitare informazioni sensibili per il test nel prossimo futuro.

L'importante è elaborare un piano. La realtà ci ha insegnato che non esiste una sicurezza perfetta. Tuttavia, ora siamo al punto in cui ci si aspetta una ragionevole sicurezza. Il miglior programma di sicurezza delle applicazioni è quello che non consente il verificarsi di incidenti o violazioni. Il secondo stato migliore, e più raggiungibile, è quello in cui le vulnerabilità delle applicazioni vengono scoperte e tempestivamente mitigate nel tempo.

Chiediti: qual è il tuo obiettivo finale? Fai un passo indietro e guarda i punti ciechi e le debolezze nelle tue attività di sicurezza delle applicazioni web. Probabilmente troverai diverse aree che possono essere migliorate. Potrebbe presentarsi sotto forma di una migliore gestione del server web e dell'inventario delle applicazioni. Potrebbe eseguire scansioni di vulnerabilità web più spesso. Oppure, potrebbe semplicemente essere necessario un migliore reporting specifico dell'applicazione e un mezzo per tenere traccia degli sforzi di riparazione. Indipendentemente da ciò, DAST deve essere una parte della soluzione.

 


Articoli su Sicurezza

Protezione WAF - Ottieni il massimo dal tuo firewall per applicazioni webL'errore di comunicazione è al centro delle sfide di AppSecDebugger remoti come vettore di attaccoDAST è una parte essenziale di un programma completo per la sicurezza delle applicazioniCome difendersi dagli attacchi recenti su Microsoft Exchange5 principali vantaggi dei primi test di sicurezzaTecniche di attacco Denial-of-Service con avvelenamento della cacheQuali principali attacchi web possiamo aspettarci nella nuova top 10 di OWASP?Hack di SolarWindsPillole di Sicurezza | Episodio 38Pillole di Sicurezza | Episodio 37Perché gli sviluppatori evitano la sicurezza e cosa puoi fare al riguardoPillole di Sicurezza | Episodio 36Cos'è l'attacco RUDYCos'è la navigazione forzataCome gli scanner trovano le vulnerabilitàPillole di Sicurezza | Episodio 34Pillole di Sicurezza | Episodio 35Come eseguire il benchmark di uno scanner di vulnerabilità Web?Pillole di Sicurezza | Episodio 33Pillole di Sicurezza | Episodio 325 proposte di vendita comuni sulla sicurezza delle applicazioni web5 motivi per non fare affidamento sui programmi BountyPillole di Sicurezza | Episodio 315 motivi per cui la sicurezza web è importante quanto la sicurezza degli endpointPillole di Sicurezza | Episodio 305 motivi per cui la sicurezza web è importante per evitare il ransomwarePillole di Sicurezza | Episodio 293 motivi per cui DAST è il migliore per la sicurezza delle applicazioni WebPillole di Sicurezza | Episodio 28Pillole di Sicurezza | Episodio 27Pillole di Sicurezza | Episodio 24Pillole di Sicurezza | Episodio 25Pillole di Sicurezza | Episodio 21Pillole di Sicurezza | Episodio 22Pillole di Sicurezza | Episodio 20Pillole di Sicurezza | Episodio 17Il flag HttpOnly: protezione dei cookie da XSSPillole di Sicurezza | Episodio 16Il Bug Heartbleed – I vecchi Bug sono duri a morirePillole di Sicurezza | Episodio 15Pillole di Sicurezza | Episodio 14Pillole di Sicurezza | Episodio 13Pillole di Sicurezza | Episodio 12Pillole di Sicurezza | Episodio 11Pillole di Sicurezza | Episodio 10Sicurezza delle reti: gli hacker puntano CitrixCyber hacking: la Germania chiede l’intervento dell’UESicurezza informatica: Cisco rilascia aggiornamentiOcchio al cryptojacking: malware infiltrato in Docker HubSIGRed: bug di sistema in Windows Server scovato dopo 17 anniPillole di Sicurezza | Episodio 9Summit Live - Disponibili le registrazioni delle live di MonteleoneCriminalità informatica: Schmersal sventa un cyber-attaccoPillole di Sicurezza | Episodio 8Pillole di Sicurezza | Episodio 7Analisi pratica dei rischi per il SysAdmin, DevOps e Dev | Summit LivePillole di Sicurezza | Episodio 6Pillole di Sicurezza | Episodio 5Pillole di Sicurezza | Episodio 4Pillole di Sicurezza | Episodio 3Pillole di Sicurezza | Episodio 2Pillole di Sicurezza | Episodio 1Pillole di Sicurezza | Episodio 23
Ripe Ncc Member
vmware
CloudLinux
Plesk
HP
Microsoft