Penetration test
Un penetration test risponde a una sola domanda: cosa potrebbe fare oggi un attaccante alla sua organizzazione? Lo scopriamo con gli strumenti e le tecniche degli attaccanti, entro limiti che lei approva per iscritto.
A chi si rivolge
Organizzazioni che devono conoscere la propria esposizione reale: prima di un lancio, dopo un cambiamento importante, per un audit o una richiesta di un cliente, oppure come verifica annuale.
Cosa facciamo
- Test della rete esterna
- Tutto ciò che è raggiungibile da internet: siti web, server di posta, gateway VPN, accesso remoto e servizi cloud.
- Test della rete interna
- Partiamo dall’interno della sua rete, come farebbe un laptop compromesso o un insider malintenzionato, e verifichiamo quanto riusciamo ad avvicinarci ai sistemi critici.
- Test di applicazioni web
- Login, sessioni, controllo degli accessi e gestione dell’input nelle sue applicazioni web e API, secondo la OWASP Web Security Testing Guide.
- Test di applicazioni mobile
- App iOS e Android e le API su cui si basano, secondo le linee guida OWASP Mobile Application Security.
- Social engineering
- Campagne di phishing, telefonate con pretesti e tentativi di accesso fisico mostrano come persone e processi reagiscono alla manipolazione.
- Test del lavoro da remoto
- La sicurezza delle postazioni di lavoro da casa: VPN, configurazione dei laptop, strumenti di collaborazione e identity provider.
- Test di sicurezza continui
- Invece di un solo test all’anno, testiamo periodicamente la sua superficie di attacco esterna e segnaliamo i nuovi problemi non appena emergono.
Come si svolge un test
Perimetro
Concordiamo per iscritto obiettivi, regole e tempi. Nulla viene testato senza la sua approvazione.
Ricognizione
Mappiamo ciò che un attaccante può vedere: domini, servizi esposti, tecnologie e persone.
Sfruttamento
Proviamo a entrare con le tecniche usate dagli attaccanti reali e ci fermiamo ai limiti concordati.
Report
Ogni rilievo riporta il rischio, le evidenze e una correzione concreta, insieme a una sintesi per la direzione.
Retest
Dopo la correzione dei problemi, ripetiamo il test e confermiamo che sono stati risolti.
Cosa consegniamo
- Una sintesi per la direzione in linguaggio chiaro
- Un report tecnico: ogni rilievo con rischio, evidenze e una correzione concreta
- Un incontro di presentazione dei risultati con il suo team
- Un report di retest che conferma quali problemi sono stati risolti
Domande frequenti
Il test può causare interruzioni ai nostri sistemi?
Concordiamo in anticipo finestre e limiti del test ed evitiamo le tecniche che potrebbero causare disservizi, salvo sua approvazione. Può interrompere il test in qualsiasi momento.
Quanto dura un test?
Dipende dal perimetro. Una singola applicazione web richiede di solito alcuni giorni; un’intera rete interna richiede più tempo. La proposta indica una tempistica definita.
Black box, grey box o white box?
Eseguiamo tutti e tre i tipi. Il grey box, in cui riceviamo un normale account utente e la documentazione di base, è di solito quello che trova più problemi nel tempo disponibile.
Strumenti di sicurezza gratuiti
-
Scanner header di sicurezza
Valuta header di sicurezza HTTP, cookie e certificato TLS di un sito web, con una correzione per ogni rilievo.
Il nostro server recupera la pagina -
Decoder JWT
Decodifica un JSON Web Token e cerca gli errori di sicurezza più comuni, senza che lasci il browser.
Funziona nel browser -
Calcolatore CVSS 3.1
Calcola il punteggio di una vulnerabilità con le metriche base CVSS 3.1 e genera un vettore condivisibile.
Funziona nel browser
Ci dica cosa deve proteggere
Descriva il suo ambiente e cosa vuole ottenere. Risponderemo via email.
Ci scrivaAngelForce OÜ · Tallinn, Estonia