Un estudio de seguridad ha demostrado una vez más que la mayoría de los ataques a la seguridad de las aplicaciones web (aproximadamente el 85% según Gartner y NIST) se generan desde la capa de aplicación. Siempre ha sido un desafío para los desarrolladores validar los parámetros de la URL, el encabezado HTTP, la solicitud HTP y los campos no editables de la página.
Muchas veces me he encontrado con problemas con proyectos en los que se requiere un escaneo grande del host de la red. En ese caso, simplemente no puede esperar que su consultor escanee cada host de forma individual, analice los resultados y haga una lista de todos los puertos/servicios vulnerables. Sí, incluso podemos detectar puertos abiertos con Nessus, pero aun así tiene una limitación de host por escaneo.
En el proceso de automatización de los escaneos de red para redes grandes, también es necesario automatizar los escaneos de Nessus. La principal ventaja y el punto más importante de esta automatización es que permite realizar escaneos programados en la versión Home Feed (que solo está disponible en Pro Feed) y lo más sencillo es que los escaneos se ejecuten como si los ejecutaras desde tu cliente de interfaz web de Nessus.
El siguiente paso es configurar ModSecurity con las reglas OWASP CRS (Core Rule Set).
Nos motivó escribir sobre ello cuando algunos de nuestros clientes nos preguntaron al instante si podíamos bloquear todos los ataques web maliciosos conocidos a nivel del propio servidor web. Rápidamente les sugerimos una solución WAF fiable y de código abierto que se adaptara a sus necesidades. Evidentemente, la simple instalación de WAF no significa que no necesite controles de seguridad de las aplicaciones.
Hace poco, estaba intentando usar mis scripts de Nessus Automation, que antes estaban automatizados, y detecté que no funcionaban en el último XMLRPC de Nessus 5.2. La última vez, automaticé las tareas de escaneo de red mediante XMLRPC en Perl, pero es extraño que ya no funcionara con Nessus 5.2.
Siempre ha sido un fastidio ejecutar Nessus cuando tienes una larga lista de direcciones IP que escanear en un corto período de tiempo. Esto suele ocurrir cuando estás realizando un pentest interno y tienes varias direcciones IP que escanear.
Ha habido ocasiones en las que un probador de penetración no puede instalar una aplicación iOS en un dispositivo físico mientras realiza una evaluación de seguridad de la aplicación iOS. Esto puede ocurrir por varias razones
El lunes por la mañana y escuchas la gran noticia. ¿Cómo se siente? Acabo de recibir un correo electrónico de CREST Australia en el que me informa que he aprobado el examen y que ahora soy un profesional certificado por CREST... Estoy muy emocionada... J
