Cómo determinar correctamente el nivel de seguridad en una empresa en función de las vulnerabilidades descubiertas

Sí, si realiza pruebas de penetración, no puede determinar el nivel de seguridad de la empresa. usted puede decir mientras buscaba la lista de casos de prueba de seguridad y la red vuelve a estar protegida con esa lista de casos de prueba.

tenemos un enfoque sistemático, es decir, primero realizamos una revisión de configuración segura de todos los SO, HTTP Server, Bases de datos en la red utilizando herramientas automatizadas como CIS benchmark o Nessus u openvas

basado en la lista de verificación de cis benchark, fortalezca el sistema operativo, el servidor HTTP, entonces podría decir que su red cumple con los estándares de referencia CIS que son altamente seguros.

Descargas de referencia de CIS: Centro de seguridad de Internet

Gracias,

Uday

Youtube: Uday Datrak

Linkedin:

https://in.linkedin.com/in/uday-…

La vida no es mazmorras y dragones. Una vulnerabilidad es una vulnerabilidad. Una vulnerabilidad realmente mala es aquella en la que hay un exploit en funcionamiento en estado salvaje y una vulnerabilidad urgente es teórica sin exploit escrito.

Desde Carolus Linnaeus hemos sentido la necesidad de clasificar las cosas, pero resistimos esa tentación e informamos las vulnerabilidades tal como existen. Si su cliente quiere que los clasifique, simplemente busque los que tienen “exploit funcional” como “CRÍTICO” y exploit no funcional como “URGENTE”, por lo que digamos que encontró 2 críticos y 4 urgentes en una red, presente sus hallazgos y muéstrelos. donde se encuentran las soluciones. Si quieren que continúes trabajando en las soluciones, también deberían pagarte por eso.

El enfoque estándar es calcular un valor de riesgo para cada uno (generalmente usando CVE – Puntuación de vulnerabilidades y vulnerabilidades comunes, según lo prescrito por NIST, Mitre, etc.). Idealmente, divide cada plataforma / segmento en su propio sistema de puntuación y traza la media, la mediana y el modo de las vulnas aplicables. Luego, proporcione un puntaje agregado en la misma línea al entorno general.

Hay una buena cantidad de subjetividad involucrada (como la criticidad del sistema), pero esa es la naturaleza de la bestia.

Hola..

El nivel de seguridad de la empresa se determina y especifica en una “Evaluación de seguridad” y eso incluye no solo cubrir las vulnerabilidades existentes sino también la Seguridad física, la evaluación de riesgos, las políticas de seguridad actuales y, por supuesto, una auditoría de seguridad.

Hagas lo que hagas, asegúrate de documentar los hallazgos, escribe que no te permitirán llevar a cabo la fase de ataque y haz que todos firmen. No querrás que te quedes con la bolsa para una demanda si JohhnyX666, de 15 años, con su instancia de Kali Linux, encuentra y viola a los críticos. Créeme.