Всем привет, меня зовут Герасимов Александр и это мой личный канал, в котором буду делиться своим опытом, техниками защиты и взлома различных систем, интересными новостями в сфере кибербезопасности.

Stay tuned)

P.S. Кроме всего, будут еще видосики и мемасики)

Как эффективно управлять уязвимостями?

Как быть, если нужно управлять уязвимостями, а источников, которые обнаруживают их очень много:

- сканеры сетевой инфраструктуры
- сканеры веб-приложений
- сканеры кода
- SAST, DAST встроенные в CI/CD
- и т.д.

Заходить в каждый инструмент, выгружать отчеты, заводить задачи в баг-трекере, писать свои скрипты и хуки?

Не стоит) Существует класс решений, которые позволяют собирать результаты сканирований из разных источников, агрегировать уязвимости, устанавливать сроки устранения уязвимостей, при необходимости отмечать баги как false positive, выгружать отчеты с применением различных фильтров и интегрироваться с багтрекерами.

Чтобы понять насколько это удобно, можно развернуть у себя опенсорсное решение - DefectDojo. Сервис написан на Python и поддерживает более 20 форматов отчетов из различных сканеров: Nessus, Acunetix, Fotify, BurpSuit, Qualys, SonarQube и т.д.

Если вы анализируете код и тестируете приложение в процессе CI/CD, то DefectDojo для вас еще отследит идентификатор сборки, хэш коммита, ветку, тег, SCM и Build сервер, т.д.

Есть и коммерческие решения, например, Risksense, Threadfix.

#soft #vulnerability_management