Penetration Testing - Bonifica

Gli sforzi dei test di penetrazione, per quanto accurati possano essere, non possono sempre garantire una scoperta esaustiva di ogni istanza in cui l'efficacia di un controllo di sicurezza è insufficiente. L'identificazione di una vulnerabilità o di un rischio di cross-site scripting in un'area di un'applicazione potrebbe non esporre in modo definitivo tutte le istanze di questa vulnerabilità presenti nell'applicazione. Questo capitolo illustra il concetto e l'utilità della riparazione.

Cos'è la riparazione?

La riparazione è un atto di offrire un miglioramento per sostituire un errore e rimediare. Spesso la presenza di vulnerabilità in un'area può indicare una debolezza nel processo o nelle pratiche di sviluppo che avrebbero potuto replicare o abilitare vulnerabilità simili in altre località. Pertanto, durante il rimedio, è importante che il tester indaghi attentamente sull'entità o sulle applicazioni testate tenendo presenti controlli di sicurezza inefficaci.

Per questi motivi, la rispettiva azienda dovrebbe adottare misure per porre rimedio a qualsiasi vulnerabilità sfruttabile entro un ragionevole periodo di tempo dopo il penetration test originale. Infatti, non appena l'azienda ha completato questi passaggi, il pen tester dovrebbe eseguire un nuovo test per convalidare i controlli appena implementati che sono in grado di mitigare il rischio originale.

Gli sforzi di riparazione che si estendono per un periodo più lungo dopo il pen test iniziale potrebbero richiedere l'esecuzione di un nuovo impegno di test per garantire risultati accurati dell'ambiente più attuale. Questa determinazione dovrebbe essere effettuata dopo un'analisi dei rischi di quanti cambiamenti si siano verificati dal completamento del test originale.

Inoltre, in condizioni specifiche, il problema di sicurezza segnalato può illustrare un difetto di base nel rispettivo ambiente o applicazione. Pertanto, l'ambito di un nuovo test dovrebbe considerare se eventuali modifiche causate dalla riparazione identificata dal test siano classificate come significative. Tutte le modifiche dovrebbero essere testate nuovamente; tuttavia, la necessità o meno di ripetere il test dell'intero sistema dipenderà dalla valutazione del rischio delle modifiche.