Encontrado después
Del hallazgo no cambia nada. Lo que cambia es que para cuando alguien lo vio, el aplicativo llevaba meses corriendo con él — así que ya no es solo arreglarlo: es averiguar qué pasó mientras estuvo abierto, y contárselo a alguien.
Soluciones especializadas
Un informe que nadie vuelve a comprobar es un PDF.
Security es la parte de Cyntia que es gente y no software: revisamos aplicativos, endurecemos lo que los corre, y nos sentamos en la reunión antes de que las cosas se construyan. Los hallazgos vuelven ordenados por lo que te costarían, alguien los corrige, y entonces volvemos a mirar — porque un hallazgo no se cierra cuando se escribe, se cierra cuando ya no está.
Qué es una revisión de verdad
La flecha que vuelve es todo. Entregar una lista de hallazgos lo hace cualquiera; el trabajo es ordenarlos por lo que de verdad costarían, ver que se corrijan, y comprobar el arreglo. Sin ese último paso no se cerró nada: solo se describió.
- Los hallazgos vienen ordenados por lo que te costarían
- El hardening es el arreglo, no la lista
- Y se vuelve a comprobar, o no se cerró nada
El mismo hallazgo, a un lado o al otro de la salida
Encontrado antes
El mismo hallazgo, en una revisión, sin nada corriendo todavía. Cuesta lo que cuesta arreglarlo y nada más. Esa diferencia es el argumento entero de revisar antes en vez de después, y es la razón de que el trabajo más barato sea el que empieza temprano.
Por dónde solemos entrar
A veces antes de que se construya nada, a veces con el aplicativo ya en producción, a veces porque lo pidió un cliente o un auditor. El trabajo es distinto en cada caso; lo que no cambia es que termina con alguien comprobando que lo que se encontró ya no está.
Son los que más nos piden, no la lista completa. Si lo que necesitas no está aquí, vale la pena preguntar.
Qué hacemos
Nombrado por lo que se entrega y no por lo que se abre: aquí no hay pantalla a la que entrar.
-
01
Revisión de aplicativos
Recorrer lo que construiste buscando qué le deja hacer a alguien que no debería. Los hallazgos vuelven ordenados por lo que te costarían, no por lo ingenioso que fue encontrarlos.
-
02
Hardening
El arreglo, no la lista. Configuración, permisos, exposición, y todo lo que quedó encendido por omisión sin que nadie quisiera dejarlo así.
-
03
Asesoría
Estar en la reunión antes de que se construya, que es la hora más barata que alguien nos compra. Casi todo lo que encuentra una revisión se decidió meses antes.
-
04
Volver a revisar
Mirar otra vez después del arreglo. Es el paso que se salta la gente, y saltárselo significa que el entregable era el informe — que es justo lo que no debería ser nunca.
Cuéntanos qué estás por sacar.
O qué lleva dos años corriendo sin que nadie lo haya mirado. Los dos son un buen sitio para empezar; el primero sale más barato.
Hablemos