Đánh giá lỗ hổng định kỳ: 7 việc trước khi kẻ xấu tìm ra

Trước khi quét

Phần lớn đợt đánh giá kém hiệu quả vì chuẩn bị sơ sài. Ba việc cần xong trước ngày đầu tiên:

• ▸Kiểm kê tài sản: tên miền, địa chỉ IP, ứng dụng, API đang mở ra Internet.
• ▸Thống nhất phạm vi, khung giờ và người liên hệ khẩn cấp hai bên.
• ▸Ký văn bản đồng ý kiểm thử — không có nó, kiểm thử xâm nhập là vi phạm.

Trong khi đánh giá

Quét tự động tìm nhanh lỗi đã biết; kiểm thử thủ công tìm lỗi logic như xem được dữ liệu người khác bằng cách đổi một tham số. Cần cả hai.

• ▸Xếp hạng lỗi theo CVSS và theo ảnh hưởng thực tế tới kinh doanh.
• ▸Báo ngay lỗi nghiêm trọng, không chờ báo cáo cuối.

Sau khi có báo cáo

Báo cáo chỉ có giá trị khi lỗi được vá. Giao từng lỗi cho người chịu trách nhiệm, đặt hạn theo mức độ và kiểm tra lại sau khi vá. Lặp lại đánh giá ít nhất mỗi năm và sau mỗi thay đổi lớn.