Un raport de pentest devine util atunci când fiecare constatare are un responsabil, o măsură și un termen de verificare.
Unele vulnerabilități pot fi remediate rapid. Altele cer o fereastră de mentenanță, validarea unei aplicații sau înlocuirea unui sistem. În această perioadă, compania trebuie să decidă cum reduce expunerea și cine urmărește riscul rămas.
Un caz din distribuția de piese auto
Un client TRU, distribuitor din industria auto, avea încasări zilnice de peste 100.000 de euro. Pentru conducere, o întrerupere ar fi însemnat atât amânarea încasărilor, cât și riscul ca unii clienți să comande de la concurență.
Clientul a ales testare de penetrare internă și externă lunară. Deoarece nu toate măsurile recomandate în rapoarte puteau fi implementate imediat, a adăugat monitorizarea SOC pentru infrastructura sa. Testarea și monitorizarea au avut roluri complementare, alături de lucrările de remediere.
Prezentăm cazul anonim pentru a păstra confidențialitatea clientului.
Cum stabilești ce remediezi mai întâi
Gravitatea tehnică este punctul de plecare. Echipa IT și conducerea trebuie să o coreleze cu expunerea sistemului și cu activitatea pe care acesta o deservește. Un acces neautorizat la un sistem critic poate necesita o decizie urgentă, chiar dacă remedierea este dificil de programat.
- Expunerea: sistemul este accesibil din internet, din rețeaua internă sau doar dintr-un segment restricționat?
- Consecința: ce date, conturi și procese ar putea fi afectate?
- Exploatarea: există dovezi din test și informații despre folosirea vulnerabilității în atacuri reale?
- Dependențele: ce trebuie verificat înainte de actualizare și cine aprobă intervenția?
Pentru vulnerabilitățile cunoscute, catalogul CISA Known Exploited Vulnerabilities poate completa prioritizarea. Absența unei probleme din catalog nu înseamnă că aceasta este lipsită de risc.
Ce poți face până la remedierea definitivă
Măsurile temporare se aleg pentru problema concretă: restrângerea accesului, oprirea unui serviciu neutilizat, limitarea privilegiilor sau separarea unor sisteme. Fiecare schimbare trebuie verificată împreună cu echipa care administrează mediul, pentru a nu afecta necontrolat operațiunile.
Monitorizarea poate ajuta la identificarea unor semne de exploatare, dacă sursele relevante sunt integrate și există vizibilitate asupra activității respective. Ea nu elimină vulnerabilitatea. Când expunerea nu poate fi redusă suficient, poate fi necesară izolarea ori oprirea serviciului, conform deciziei companiei.
Pentru fiecare remediere amânată, păstrează un registru scurt: sistemul afectat, riscul, măsura temporară, responsabilul, termenul și persoana care aprobă riscul rezidual. O amânare fără termen este greu de urmărit și de justificat.
Cum se completează PenTest și SOC
Testarea de penetrare evaluează, în aria autorizată și la momentul testului, căi prin care un atacator ar putea ajunge la sisteme sau date. Rapoartele documentează constatările și recomandările. SOC externalizat urmărește evenimentele de securitate din sursele integrate, cu monitorizare și analiză 24/7/365.
În serviciul TRU, alertele validate ajung la echipa IT desemnată de client. Acțiunile de limitare, inclusiv izolarea dispozitivelor unde este disponibilă, se fac în limitele tehnice și ale autorizării stabilite. Remedierea, restaurarea și revenirea în producție rămân activități de coordonat cu echipa IT.
Un alt client TRU, cu vânzări exclusiv online, a ales atât PenTest, cât și SOC pentru a reduce riscurile care i-ar putea întrerupe activitatea. Combinația completează backupul, redundanța și planul de recuperare; nu garantează absența întreruperilor.
Când închizi o constatare
Aplicarea unei actualizări sau schimbarea unei configurații trebuie urmată de verificare. Echipa IT confirmă funcționarea serviciilor, iar retestarea verifică în aria convenită dacă problema identificată a fost remediată.
La TRU, retestarea după remediere este inclusă și gratuită. Momentul și aria reverificată se stabilesc în proiect. Rapoartele inițiale se livrează în 48 de ore de la finalizarea scanării. Modificările ulterioare ale infrastructurii pot justifica o nouă evaluare.
Ce stabilim în prima discuție
Clarificăm testarea internă, externă sau ambele, sistemele autorizate, restricțiile operaționale și cine primește rezultatele. Dacă este necesar și SOC, definim separat sursele monitorizate, contactele IT și acțiunile aprobate pentru incidente.
Poți consulta ghidul pentru alegerea testării și împărțirea responsabilităților într-un SOC externalizat. Pentru ofertă, trimite tipul mediului și dimensiunea aproximativă; nu transmite parole sau rapoarte confidențiale prin formular.