Muchos creen que con correr Nessus, Acunetix, OpenVAS, Netspaker , Vega y demás herramientas ya realizan un análisis de vulnerabilidades, ahora la otra cara de la moneda es que también consideran que las herramientas harán magia es decir con ejecutar una de ellas aseguran que cada una de las vulnerabilidades identificadas son correctas, y con ello les da el 100% de seguridad que su desarrollo esta bien realizado y una vez fixeados los problemas están listos para salir a producción con esta entrada quiero que comprendan los siguientes puntos, si eres desarrollador o bien pentester piénsalo:

- Si eres desarrollador considera hacer bien tu trabajo desde la concepción del proyecto, un proyecto bien realizado no necesitará un análisis de vulnerabilidades.
- La ejecución de una herramienta de automatización no da 100% de seguridad que tu aplicación es segura.
- No seas flojo en el desarrollo, crea tus propios recursos de ser posible evita usar plugins de terceros.

Ahora nos vamos al otro punto el primero en realidad, donde comentaba que no se tiene un poco de ética y se entrega documentación o resultados de un test de intrusión como referencia el escaneo de las herramientas que nos pasa damos cualquier resultado, yo tuve la experiencia de ver algunos informes incluso estos andaban  aun en ingles ni se toman la molestia de realizar una traducción aunque chuta con translate, tomense la molestia de dar al cliente lo que se pide, no cantidad si no calidad. 

Cuantas veces viste informes de test de intrusión pasados?

Lo siento pero era justo y necesario, realizar esta entrada para desahogarme en este rincón. 

Regards,
Snifer