¿Cuál es el peligro o la desventaja de usar el escáner de aplicaciones web en línea / en la nube en comparación con las premisas?

0

Los escáneres en la nube se están volviendo más comunes en estos días. El precio es mucho más barato que en los escáneres de premisa. Mi preocupación con los escáneres en la nube es que almacenan información confidencial en una red de terceros. (No estoy seguro de si la información confidencial solo incluye el resultado del análisis). ¿Hay alguna otra información que el escáner en la nube pueda almacenar además del resultado del análisis? Sé que cuando estaba tomando clases de ley cibernética y cumplimiento, recuerdo que algunas de ellas (HIPPA, SOX, PCI) requerían un conjunto diferente de reglas para transferir información personal a otro sitio. ¿Debo preocuparme por esto cuando utilizo el escáner de aplicaciones web en la nube, ya sea SAST o DAST? ¿Cuáles son sus experiencias y pensamientos sobre los escáneres en la nube frente a los de la premisa?

    
pregunta DoodleKana 04.09.2014 - 19:49
fuente

1 respuesta

3

He usado ambos. Obtendrá resultados diferentes con un escáner basado en la nube en comparación con un escáner local.

Por lo general, un escáner en las instalaciones realiza escaneos autenticados contra sus activos sin restricciones de puerto, u obstáculo para otros dispositivos de seguridad. Esto le da una verdadera instantánea de las vulnerabilidades del sistema.

Los escáneres basados en la nube por lo general analizan sus activos externos, no autenticados y deben atravesar la misma infraestructura que un atacante. (IPS, WAF, firewall, etc.) Esto le da una idea de lo que vería un atacante.

Ambos pintan una imagen diferente de su red y se usan típicamente en tándem, no en lugar de.

Ahora, dicho esto, quizás esté permitiendo que un escáner basado en la nube acceda a su red interna sin adulteraciones, lo que personalmente desaconsejaría.

Información común recopilada por un escáner de vulnerabilidades:

  • Redes
  • direcciones IP
  • direcciones MAC
  • sistemas operativos
  • aplicaciones instaladas
  • Especificaciones de hardware
  • puertos abiertos
  • servicios en ejecución
  • procesos en ejecución
  • Acciones
  • Usuarios / Grupos
  • Membresía de dominio / grupo de trabajo
  • Registros de eventos
  • claves de registro
  • cualquier vulnerabilidad encontrada

Existe la posibilidad de que algunos PII puedan estar contenidos en los resultados del análisis. Por ejemplo, muchos escáneres le permiten revisar los detalles de un hallazgo.

  

Comprobado para: (SSN Regex)   Encontrado: 112 25 0027

    
respondido por el k1DBLITZ 05.09.2014 - 17:46
fuente

Lea otras preguntas en las etiquetas