N
Size: a a a
2020 October 30
AS
Ща как дурак буду рассказывать аудиторам с сертификатами, что я руками их уязвимость тестю всякими скриптами, и она не воспроизводится. Зачморять(
Так пусть сами воспроизведут, NIST 800-115 для кого писан?
N
Ща как дурак буду рассказывать аудиторам с сертификатами, что я руками их уязвимость тестю всякими скриптами, и она не воспроизводится. Зачморять(
вообще, по памяти того же ASV по PCI (хз че там у тебя), была процедура разрешения false positive, когда сканер что-то показывает - даешь рекомендации - тебе банк говорит "не, это не пройдет, я закрыл" - ты должен это проверить или альтернативным методом или тупо попросить показать настройки, что там действительно необходимое сделано, а сканер косячит.
N
Так пусть сами воспроизведут, NIST 800-115 для кого писан?
если это не пентест, то не обязаны, там бывает своя процедура и регламенты - то же ASV сканирование, как пример
AS
Ну смотря для каких нужд пентест.
S
вообще, по памяти того же ASV по PCI (хз че там у тебя), была процедура разрешения false positive, когда сканер что-то показывает - даешь рекомендации - тебе банк говорит "не, это не пройдет, я закрыл" - ты должен это проверить или альтернативным методом или тупо попросить показать настройки, что там действительно необходимое сделано, а сканер косячит.
я доходил до признания 98% всех уязвимостей фолзами, аудиторы подписали
AS
Для DSS смотрите NIST и консильный гайд, пункт 2.3.4.
AS
Там написано "All exploitable vulnerabilities".
AS
Т.е. кто-то должен зуб дать, что exploitable.
AS
И что не exploitable тоже.
