Re: Falsi positivi

On Wed, 29 May 2002 19:39:43 +0200, Massimo Brogioni wrote:

>Prima si lancia uno di questi software, e poi ci si vanno a rivedere a
>mano tutte le vulnerabilita' ipotetiche trovate.

In realta' e' quello che ho fatto e quello che cerco in buona fede di fare sempre.

>Si, ad oggi ancora la sicurezza non e' un processo automatizzato ne'
>automatizzabile (vedi articolo di Dan Geer sull'ultimo Login;).
>Ciao e buon lavoro.

Ti ringrazio per il buon lavoro ;-) ma il punto e' un'altro. 
Gia' sapevo che i security scanner non avrebbero trovato il tipo di sistema operativo 
perche' non lo dovevano trovare e gia' conoscevo lo stato della mia rete 
perimetrale. 
Il problema che sollevo e' che un securescan puo' visualizzare anche e sopratutto 
dei problemi inesistenti ma mentre nessus _forse_ segnala dei falsi positivi per 
eccesso di zelo i prodotti commerciali come si mettono da questo punto di vista? 
Chi mi dice che alcune segnalazioni non siano delle semplici forzature. 
La sicurezza e' un processo continuo ma dei prodotti non possono farla divenire una 
inutile perdita di tempo. Nel caso di retina il prodotto mi avvisa di problemi del PHP 
perche' analizza il banner del mio PHP: se io lo modifico e gli dico che il mio 
application server php e' la versione 5.0 lui mi dice che e' tutto OK.....





________________________________________________________
http://www.sikurezza.org - Italian Security Mailing List