Re: configurazione di rete x infrastruttura VA?
ED <[email protected]> Sat, 22 Jun 2019 17:28:24 +0200
| Newsgroups | gmane.comp.security.italian |
|---|---|
| Message-ID | <[email protected]> |
This is a multi-part message in MIME format.
--------------2BB8EFBB383B5FE78002D3F9
Content-Type: text/plain; charset=utf-8; format=flowed
Content-Transfer-Encoding: 8bit
Il 21/06/2019 15:19, tag 636 ha scritto:
> Dai un occhiata ad archery [...]
Molto interessante pero' da quel che ho letto Archery si limita a
controllare il software di VA e fornire servizi ausiliari. Non risolve
il mio dilemma iniziale, ovvero come ottimizzare distribuzione, gestione
e messa in sicurezza di un software di network VA autenticato su una
rete geografica ed eterogenea.
Sui sistemi critici inoltre ho qualche riserva ad usare software non
ufficialmente avallato. Per esempio Archery sembra interamente gestito
da un freelance indiano. Lo userei per i container di test ed
eventualmente scansioni black-box di produzione, ma senza altre garanzie
non gli darei in pasto credenziali sufficienti a radere al suolo
l'intera azienda. Mi chiedo se chi lo usa in contesti simili faccia
prima una valutazione dei rischi. Talvolta ho l'impressione che noialtri
della sicurezza ci comportiamo come il giudice Dredd: "Io non ho
infranto la legge... io SONO la legge!" :-)
> per web app...sono per un'integrazione nella CI/CD con SAST e
> DAST....un tipico SecDevOps loop, only web VA non serve a molto.
>
> Da un punto di vista di architettura, usa un approccio via containers
> che spari dove vuoi via k8s o simili.
>
> Lo scan pubblico sento tanti alle conferenze che usano shodan [...]
Sono pienamente d'accordo con CI/CD e li sto spingendo da alcuni anni,
ma per motivi interni ora vorrei comunque scannerizzare direttamente
quel che c'è in produzione evitando scanner sul cloud. A proposito dei
VA dal cloud sarei però curioso di sapere cosa ne pensate, specialmente
riguardo al consumo di banda, all'accesso a reti interne altrimenti
chiuse e al white-listing su IDS e WAF locali.
> Quando valuti VA, considera se non integrare anche threat hunting [...]
Grazie, tra l'altro lo consigliava Andrea Gelpi sia per una questione di
efficacia che di efficienza, per poi fare VA solo dove effettivamente
serve. Tu lo intendi come una integrazione a senso unico (dare in pasto
i dati del VA al resto) o bidirezionale?
ciao
--
ED
--------------2BB8EFBB383B5FE78002D3F9
Content-Type: text/html; charset=utf-8
Content-Transfer-Encoding: 8bit
<html>
<head>
<meta http-equiv="Content-Type" content="text/html; charset=UTF-8">
</head>
<body text="#000000" bgcolor="#FFFFFF">
<div class="moz-cite-prefix">Il 21/06/2019 15:19, tag 636 ha
scritto:<br>
</div>
<blockquote type="cite"
cite="mid:CAHCi+wLSN2BAFa0E+gMj4UzgwMaPUq7asdJWPytoTpTUv-4ycQ@mail.gmail.com">
<div dir="auto">
<div dir="auto"><span
style="font-family:sans-serif;font-size:12.8px">Dai un
occhiata ad archery [...]<br>
</span></div>
</div>
</blockquote>
<p>Molto interessante pero' da quel che ho letto Archery si limita a
controllare il software di VA e fornire servizi ausiliari. Non
risolve il mio dilemma iniziale, ovvero come ottimizzare
distribuzione, gestione e messa in sicurezza di un software di
network VA autenticato su una rete geografica ed eterogenea.<br>
</p>
<p>Sui sistemi critici inoltre ho qualche riserva ad usare software
non ufficialmente avallato. Per esempio Archery sembra interamente
gestito da un freelance indiano. Lo userei per i container di test
ed eventualmente scansioni black-box di produzione, ma senza altre
garanzie non gli darei in pasto credenziali sufficienti a radere
al suolo l'intera azienda. Mi chiedo se chi lo usa in contesti
simili faccia prima una valutazione dei rischi. Talvolta ho
l'impressione che noialtri della sicurezza ci comportiamo come il
giudice Dredd: "Io non ho infranto la legge... io SONO la legge!"
:-)<br>
</p>
<p><br>
</p>
<blockquote type="cite"
cite="mid:CAHCi+wLSN2BAFa0E+gMj4UzgwMaPUq7asdJWPytoTpTUv-4ycQ@mail.gmail.com">
<div dir="auto">
<div dir="auto">per web app...sono per un'integrazione nella
CI/CD con SAST e DAST....un tipico SecDevOps loop, only web VA
non serve a molto.
<div dir="auto"><br>
</div>
<div dir="auto">Da un punto di vista di architettura, usa un
approccio via containers che spari dove vuoi via k8s o
simili.<br>
<br>
Lo scan pubblico sento tanti alle conferenze che usano
shodan [...]<br>
</div>
</div>
</div>
</blockquote>
<p>Sono pienamente d'accordo con CI/CD e li sto spingendo da alcuni
anni, ma per motivi interni ora vorrei comunque scannerizzare
direttamente quel che c'è in produzione evitando scanner sul
cloud. A proposito dei VA dal cloud sarei però curioso di sapere
cosa ne pensate, specialmente riguardo al consumo di banda,
all'accesso a reti interne altrimenti chiuse e al white-listing su
IDS e WAF locali.<br>
</p>
<br>
<blockquote type="cite"
cite="mid:CAHCi+wLSN2BAFa0E+gMj4UzgwMaPUq7asdJWPytoTpTUv-4ycQ@mail.gmail.com">
<div dir="auto">
<div dir="auto">Quando valuti VA, considera se non integrare
anche threat hunting [...]<br>
</div>
</div>
</blockquote>
<p>Grazie, tra l'altro lo consigliava Andrea Gelpi sia per una
questione di efficacia che di efficienza, per poi fare VA solo
dove effettivamente serve. Tu lo intendi come una integrazione a
senso unico (dare in pasto i dati del VA al resto) o
bidirezionale?<br>
</p>
<p>ciao</p>
<p>-- <br>
ED<br>
</p>
</body>
</html>
--------------2BB8EFBB383B5FE78002D3F9--
________________________________________________________
http://www.sikurezza.org - Italian Security Mailing List