Servizi di Pentesting

Scopriamo possibili punti deboli nell’ambiente IT e formuliamo raccomandazioni per l’azione in modo che possano dormire di nuovo sonni tranquilli.

Le piccole e medie imprese spesso non dispongono di risorse interne sufficienti per proteggere adeguatamente i dati e gli strumenti da accessi indesiderati. È qui che entrano in gioco gli specialisti di Koller Engineering. I nostri esperti mettono alla prova il tuo panorama IT. Richiedi un’offerta non vincolante: Contatto

La nostra cassetta degli attrezzi include strumenti e metodi collaudati. Un quadro completo della situazione mostra dove vengono rispettati gli standard e le norme minime e dove è necessario intervenire. Accompagniamo i nostri clienti anche per periodi di tempo più lunghi ed eseguiamo scansioni e audit regolari.

Test di penetrazione della rete esterna

Impostazione di un perimetro forte

Una delle forme più comuni di test di penetrazione, soprattutto per le PMI, è un pentest di rete esterna. In questa forma di pentest, vengono controllati tutti i sistemi nelle vicinanze di un’azienda, cioè tutti i sistemi accessibili al pubblico via Internet. Poiché questi sistemi sono accessibili a tutti, sono i sistemi più facilmente e regolarmente vulnerabili di un’azienda. È probabile che vengano scansionati e attaccati quasi ogni giorno. La maggior parte di questi attacchi sono automatizzati e cercano di trovare semplici vulnerabilità, ma ciò non dovrebbe distrarre dal fatto che anche una piccola vulnerabilità può avere un impatto significativo.

La differenza tra un test di penetrazione della rete interna e un test di penetrazione della rete esterna è che un pentest della rete esterna valuta la posizione di sicurezza di un’azienda dal punto di vista di un estraneo che potrebbe trovarsi a migliaia di chilometri di distanza dall’obiettivo. Questa prospettiva aiuta un’organizzazione a comprendere quanto sia efficace la sua postura di sicurezza esterna, identificando al contempo controlli configurati in modo errato o vulnerabilità che potrebbero essere sfruttate da qualsiasi parte del mondo.

Cosa controlla un test di rete esterna?

• Regole firewall configurate in modo errato
• Porte aperte
• IDS inefficace
• Criteri password deboli
• Sistemi senza patch
• Risorse cloud condivise

Metodologia di test della rete esterna

L’importanza di una metodologia strutturata e coerente nei test di penetrazione della rete esterna non deve essere sottovalutata. Sebbene ogni progetto differisca per ambito, obiettivi e strumenti necessari, una metodologia coerente garantisce una copertura completa di ogni superficie di attacco. Il nostro team utilizza un processo strutturato che garantisce la qualità del lavoro ad ogni audit.

Passaggio 1: raccogliere informazioni ed elencare

Il primo passo che facciamo nella valutazione della rete esterna di un’azienda è quello di raccogliere ed elencare informazioni sul target; Questa è anche conosciuta come la fase di ricognizione. Questo passaggio è fondamentale perché crea una solida base di informazioni che possono essere successivamente utilizzate per identificare vulnerabilità e vettori di attacco. Nei test di penetrazione, ci sono 2 diverse forme di esplorazione:

• La ricognizione passiva è il processo di identificazione delle informazioni senza mai interagire direttamente con l’ambiente di destinazione. Buoni esempi di intelligenza passiva sono la revisione di database con credenziali violate o la revisione di annunci di lavoro per scoprire quali tipi di strumenti vengono utilizzati in azienda.
  
• L’esplorazione attiva è il processo di ricognizione in cui l’applicazione target viene affrontata direttamente. I nostri revisori utilizzano una serie di diversi strumenti di scansione dei blocchi IP e del sistema per raccogliere informazioni su hardware, host e firmware.
  

Passaggio 2: modellazione della minaccia

La modellazione delle minacce è un passaggio essenziale ma spesso trascurato per un pentest di alta qualità. In questa fase, i revisori utilizzano le informazioni apprese in precedenza per acquisire l’architettura di rete, i sistemi operativi, le porte aperte e i servizi sottostanti. Un’altra parte importante della modellazione delle minacce è la categorizzazione dei diversi tipi di dati che possono essere ottenuti durante un pentest in modo da indicare la gravità dei diversi risultati. La modellazione delle minacce aiuta i pentester a comprendere più di semplici aspetti tecnici dei risultati e consente loro di formulare i risultati in modo da allinearsi con il business.

Passaggio 3: analisi delle vulnerabilità

Non appena i revisori entrano nella fase di valutazione delle vulnerabilità, iniziano a utilizzare strumenti per identificare potenziali vulnerabilità nell’ambiente. Gli strumenti automatizzati aiutano a identificare le vulnerabilità facili da scoprire prima che il nostro team passi al luogo in cui trascorriamo la maggior parte del nostro tempo: analisi manuale e sfruttamento. Spesso ci viene chiesto che tipo di strumenti automatizzati utilizziamo per la scansione. La risposta varia in base all’ambito, ma ci affidiamo regolarmente ad alcuni strumenti commerciali che abbiamo integrato noi stessi, come Burpsuite Pro, Metasploit e Nessus.

Fase 4: Riciclaggio

In questa fase di test di penetrazione, iniziamo sfruttando in modo sicuro le vulnerabilità identificate e le configurazioni errate per determinare quale impatto i vari risultati possono avere sul business. Il nostro team cercherà di ottenere l’accesso ai dispositivi e ai sistemi per penetrare nella rete interna. Nella fase di sfruttamento, i revisori possono comprendere meglio in che modo le varie vulnerabilità influiscono sull’azienda e aiutare il cliente a dare priorità alla correzione. Questo svolge un ruolo importante nella creazione di un report che fornisce al cliente i passaggi successivi attuabili. Di seguito sono riportati alcuni esempi di vulnerabilità che cerchiamo di sfruttare in un pentest di rete esterna.

• Compromettere i servizi esterni remoti: con l’introduzione del lavoro remoto, sempre più aziende si affidano a servizi che consentono ai dipendenti di accedere alle risorse della rete aziendale interna da postazioni remote. I nostri revisori cercano di ottenere l’accesso a questi gateway di servizi remoti per ottenere un punto d’appoggio nell’ambiente.
  
• Sfruttare le applicazioni pubbliche: applicazioni, database e protocolli di amministrazione e gestione dei dispositivi di rete spesso dispongono di programmi destinati a Internet e potrebbero essere sfruttati da attori malintenzionati. Aiutiamo con la valutazione di questi sistemi e portali.
  
• Account standard e personale: software, sistemi operativi e dispositivi hanno configurato account predefiniti che potrebbero essere ancora in uso. Gli aggressori tenteranno di abusare delle credenziali per ottenere l’accesso a un ambiente. Inoltre, i dipendenti possono riutilizzare le credenziali che sono già state compromesse in altri attacchi (ad esempio, e-mail/password di Google), quindi il nostro team utilizza un database proprietario di credenziali violate per indagare su questo tipo di percorso di attacco.
  

Passaggio 5: documentazione e reporting

Al termine di ogni test di penetrazione, i clienti ricevono un report che documenta i risultati e include passaggi attuabili per migliorare la sicurezza del loro ambiente di rete. In questa fase, riassumiamo tutti i risultati del pentest e li compiliamo in un rapporto Ciò che ottieni con il rapporto è descritto di seguito:

• Sintesi e raccomandazioni strategiche
• Punti di forza e di debolezza
• Documentazione tecnica: procedure di test e screenshot
• Passaggi attuabili per porre rimedio
• Documento di sintesi (divulgazione a terzi senza rivelare informazioni altamente sensibili)
  

È importante sottolineare il valore di un buon rapporto pentest: aiuta con decisioni strategiche e budget, viene fornito ai revisori per la conformità a norme e regolamenti  e può essere reso disponibile ai clienti aziendali che richiedono ai loro fornitori  di pagare pentest annuali.

Passaggio 6: test per correggere le carenze e aggiornare i report

Dopo aver implementato i passaggi di correzione descritti nel report come cliente, i nostri tester conducono un test di correzione per garantire che non solo tutte le vulnerabilità identificate in precedenza siano state eliminate, ma anche che non siano emerse nuove vulnerabilità durante il processo di correzione. Aggiorneremo il report e prepareremo un documento di sintesi che rifletta lo stato risolto.

Test di penetrazione della rete interna

Difesa completa

I test della rete interna sono una valutazione di tutti i sistemi nella rete aziendale (interna). Condurre un test di rete interna esamina cosa accadrebbe se qualcuno intorno a te dovesse ottenere un punto d’appoggio; Ciò potrebbe essere fatto sfruttando la rete esterna, utilizzando le credenziali di un dipendente o un’azione dannosa da parte di un dipendente. Tradizionalmente, le aziende hanno dato per scontato di essere sicure se hanno un perimetro indurito, ma il tempo ha dimostrato che è necessario molto di più . Un uovo è un’analogia comune quando si tratta di una rete scarsamente protetta: non si desidera un esterno duro (guscio d’uovo) e quindi un interno morbido con poca o nessuna sicurezza.

Cosa viene controllato durante un test della rete interna?

• Segmentazione della rete insufficiente
• Porte aperte
• Controlli insufficienti per la gestione degli utenti
• Sistemi senza patch
• Criteri password deboli
• Utilizzo di protocolli non sicuri
  

Metodologia di pentest della rete interna

L’importanza di una metodologia strutturata e coerente nei test di penetrazione della rete interna non può essere sottovalutata. Sebbene ogni progetto differisca per ambito, obiettivi e strumenti necessari, una metodologia coerente garantisce una copertura completa di ogni superficie di attacco. Il nostro team utilizza un processo strutturato che garantisce la qualità del lavoro ad ogni audit.

Passaggio 1: raccogliere informazioni ed enumerare

Il primo passo che i nostri revisori compiono nella valutazione della rete interna di un’azienda è quello di raccogliere ed enumerare le informazioni sull’obiettivo; Questa è anche conosciuta come la fase di ricognizione. Questo passaggio è fondamentale perché crea una solida base di informazioni che possono essere successivamente utilizzate per identificare vulnerabilità e vettori di attacco. Nei test di penetrazione, ci sono 2 diverse forme di esplorazione:

• La ricognizione passiva è il processo di identificazione delle informazioni senza mai interagire direttamente con l’ambiente di destinazione. Buoni esempi di intelligenza passiva sono la revisione di database con credenziali violate o la revisione di annunci di lavoro per scoprire quali tipi di strumenti vengono utilizzati in azienda.
  
• L’esplorazione attiva è il processo di ricognizione in cui l’ambiente target viene esaminato direttamente. I nostri revisori utilizzano una serie di diversi strumenti di scansione dei blocchi IP e del sistema per raccogliere informazioni su hardware, host e firmware.
  

Passaggio 2: modellazione della minaccia

La modellazione delle minacce è un passaggio importante ma spesso trascurato per un pentest di alta qualità. In questa fase, i revisori utilizzano le informazioni apprese in precedenza per acquisire l’architettura di rete, i sistemi operativi, le porte aperte e i servizi sottostanti. Un’altra parte importante della modellazione delle minacce è la categorizzazione dei diversi tipi di dati che possono essere ottenuti durante un pentest in modo da indicare la gravità dei diversi risultati. La modellazione delle minacce aiuta i pentester a comprendere più di semplici aspetti tecnici dei risultati e consente loro di formulare i risultati in modo da allinearsi con il business.

Passaggio 3: analisi delle vulnerabilità

Non appena i revisori entrano nella fase di valutazione delle vulnerabilità, iniziano a utilizzare strumenti per identificare potenziali vulnerabilità nell’ambiente. Gli strumenti automatizzati aiutano a identificare le vulnerabilità facili da scoprire prima che il nostro team passi al punto in cui dedichiamo la maggior parte del nostro tempo: analisi manuale e sfruttamento. Spesso ci viene chiesto che tipo di strumenti automatizzati utilizziamo per la scansione. Mentre la risposta varia in base all’ambito, ci affidiamo regolarmente ad alcuni strumenti commerciali che abbiamo integrato noi stessi, come Burpsuite Pro, Metasploit e Nessus.

Fase 4: Riciclaggio

In questa fase di test di penetrazione, iniziamo sfruttando in modo sicuro le vulnerabilità identificate e le configurazioni errate per determinare quale impatto i vari risultati possono avere sul business. Il nostro team cercherà di ottenere l’accesso ai dispositivi e ai sistemi per penetrare nella rete interna. Nella fase di sfruttamento, i revisori possono comprendere meglio in che modo le varie vulnerabilità possono influire sull’azienda e aiutare il cliente a dare priorità alla correzione. Questo svolge un ruolo importante nella creazione di un report che fornisce al cliente i passaggi successivi attuabili. Di seguito sono riportati alcuni esempi di vulnerabilità che i nostri revisori tentano di sfruttare in un test della rete interna.

• Attacchi man-in-the-middle: gli aggressori che hanno preso piede nella rete interna possono eseguire i cosiddetti attacchi MITM, in cui i protocolli di rete come LLMNR possono essere utilizzati in modo improprio. Attraverso un attacco MITM, un utente malintenzionato può indurre gli utenti a credere che si tratti di un sistema legittimo e intercettare informazioni come le credenziali.
  
• Spostamento laterale: il motivo per cui il movimento laterale può avere un impatto così grande è perché quando un utente malintenzionato ottiene per la prima volta l’accesso alla rete interna, la probabilità che abbia il giusto accesso ai dati più importanti è (probabilmente) bassa. Un utente malintenzionato eseguirà attività come l’uso improprio dei protocolli (come RDP) per spostarsi lateralmente ed estendere il proprio accesso. I movimenti laterali di successo possono causare gravi danni se la rete interna non è adeguatamente rafforzata e segmentata. Anche i movimenti laterali di successo svolgono un ruolo importante nel contrastare le campagne ransomware.
  
• Vulnerabilità comuni e critiche: se un ambiente non viene continuamente patchato correttamente, gli aggressori possono sfruttare alcuni CVE noti e dannosi come EternalBlue (CVE-2017-0144), Spectre (CVE-2017-5753 e CVE-2017-5715) e Meltdown (CVE-2017-5754).
  

Passaggio 5: documentazione e reporting

Al termine di ogni test di penetrazione, i clienti ricevono un report che documenta i risultati e include passaggi attuabili per migliorare la sicurezza del loro ambiente di rete. In questa fase, riassumiamo tutti i risultati del pentest e li compiliamo in un report per i nostri clienti. Ciò che ottieni con il rapporto è descritto di seguito:

• Sintesi e raccomandazioni strategiche
• Punti di forza e di debolezza
• Documentazione tecnica: procedure di test e screenshot
• Passaggi attuabili per porre rimedio
• Documento di sintesi (divulgazione a terzi senza rivelare informazioni altamente sensibili)
  

È importante sottolineare il valore di un buon rapporto pentest: aiuta con decisioni strategiche e budget, viene fornito ai revisori per la conformità a norme e regolamenti e può essere reso disponibile ai clienti aziendali che richiedono pentest annuali dai loro fornitori di servizi di terze parti. 

Passaggio 6: test per correggere le carenze e aggiornare i report

Dopo che un cliente ha seguito i passaggi di correzione descritti nel report, i nostri revisori conducono un test di correzione per garantire che non solo tutte le vulnerabilità identificate in precedenza siano state eliminate, ma anche che non siano emerse nuove vulnerabilità durante il processo di correzione. Pubblicheremo anche un rapporto aggiornato e un documento di sintesi che riflette la condizione risolta.

Test di penetrazione delle applicazioni

Espansione di applicazioni web, applicazioni mobili e API

Le applicazioni e il modo in cui interagiamo con esse si sono evoluti nel corso degli anni e più solo brochure statiche ospitate online. Le applicazioni sono diventate sempre più complesse a causa della loro dipendenza dall’input dell’utente, librerie di terze parti, API, contenitori e più .

Le applicazioni hanno cambiato sia il panorama aziendale che quello consumer. Intere aziende vendono applicazioni complesse che risolvono i problemi aziendali quotidiani, mentre il consumatore medio affida alle applicazioni alcuni dei loro dati più sensibili: documenti d’identità con foto, numeri di carte di credito e numeri di previdenza sociale.

L’importanza delle applicazioni più tempo e con essa l’attenzione che attirano dai criminali informatici.

Pentest dell’applicazione – OWASP Top 10

Il nostro team di valutazione delle applicazioni è composto da membri che hanno una profonda conoscenza delle applicazioni, nonché delle tattiche, delle tecniche e dei processi comunemente utilizzati dai criminali informatici di oggi. Gli sviluppatori di software esperti hanno adottato la cosiddetta OWASP Top 10, che funge da guida per identificare le vulnerabilità di sicurezza delle applicazioni più comuni. Sebbene OWASP Top 10 fornisca un buon punto di partenza, non contiene vulnerabilità avanzate e difetti nella logica aziendale. Gli scanner di vulnerabilità e i pentester meno esperti che si affidano esclusivamente alla Top 10 OWASP potrebbero perdere intuizioni più sottili e serie che possono essere sfruttate. Tuttavia, gli sviluppatori di software che inseriscono gli esami per la OWASP Top 10 sono un passo avanti rispetto a quelli che non lo fanno. Di seguito è riportata una panoramica della Top 10 OWASP per il 2021.

1. Controllo degli accessi difettoso

Quando i controlli di accesso sono configurati correttamente, un’applicazione applica criteri per garantire che gli utenti non possano agire al di fuori delle autorizzazioni assegnate. In altre parole, l’applicazione consente ad alcuni utenti di accedere a determinati contenuti e funzionalità, negando ad altri l’accesso. Controlli di accesso difettosi possono portare alla divulgazione involontaria di informazioni, alla distruzione o all’alterazione dei dati e a funzioni non intenzionali che possono essere abusate da un utente.

2. Errori crittografici

Gli errori crittografici si verificano quando i dati sensibili non vengono archiviati in modo sicuro. Si tratta di garantire che i dati più importanti siano crittografati quando necessario e che le chiavi siano gestite correttamente.

3. Iniezione

Le varie forme di iniezione, che si sono classificate al numero 1 dal 2010 al 2020, si verificano quando un utente malintenzionato tenta di iniettare codice dannoso in un’applicazione, che viene quindi interpretato o eseguito dall’applicazione. Ciò può consentire agli aggressori di fare ciò che vogliono con il contenuto del database, compromettere i sistemi back-end o attaccare maliziosamente altri utenti.

4. Design non sicuro

La categoria “Unsafe Design”, che è stata aggiunta nel 2021, è piuttosto vaga, ma sposta l’attenzione sui difetti di progettazione e architettura che dovrebbero essere rilevati in precedenza nel processo di sviluppo. OWASP adotta la mentalità dello spostamento a sinistra e richiede più modellazione delle minacce, modelli di progettazione sicuri e architetture di riferimento.

5. Errata configurazione della sicurezza

Le configurazioni errate della sicurezza si riferiscono a configurazioni errate di server o applicazioni che portano a una serie di vulnerabilità. Ciò può includere autorizzazioni errate per directory o console di gestione esposte, l’utilizzo di credenziali predefinite o ambienti cloud configurati in modo errato.

6. Componenti vulnerabili e ricondizionati

Quando si crea un’applicazione, è possibile utilizzare componenti vulnerabili e obsoleti. Gli esempi includono l’utilizzo di server privi di patch o librerie di terze parti vulnerabili.

7. Errori di identificazione e autenticazione

Se l’identità, l’autenticazione e i dettagli della sessione di un utente non vengono gestiti correttamente, potrebbero essere presenti alcune vulnerabilità che possono essere sfruttate. Autenticazione e identificazione significa che sei chi dici di essere. Gli attacchi che prendono di mira password, chiavi o token di sessione che consentono a un utente malintenzionato di impersonare un utente rientrano pertanto in questa categoria.

8. Carenze del software e dell’integrità dei dati

Questa categoria, introdotta di recente nel 2021, si riferisce al codice e all’infrastruttura che non proteggono dalle violazioni dell’integrità. Un esempio di questo potrebbe essere un aggiornamento software automatico che viene installato senza verificare la sicurezza del nuovo codice.

9. Registrazione di sicurezza e monitoraggio degli errori

Questa categoria include i problemi relativi al rilevamento, all’escalation e alla risposta agli eventi imprevisti attivi. Una registrazione, un rilevamento e un monitoraggio insufficienti possono impedire il rilevamento e la mitigazione degli incidenti di sicurezza.

10. Falsificazione delle richieste lato server (SSRF)

Gli attacchi SSRF si verificano quando un utente malintenzionato abusa delle funzioni del server per leggere o aggiornare le risorse interne. Questi attacchi possono consentire l’accesso a server che non dovrebbero essere accessibili su Internet.

Metodologia Pentest per applicazioni web

L’importanza di una metodologia strutturata e coerente per i test di penetrazione delle applicazioni web non può essere sottovalutata. Sebbene ogni progetto differisca per ambito, obiettivi e strumenti richiesti, una metodologia coerente garantisce una copertura completa di ogni superficie di attacco. Il nostro team utilizza un processo strutturato per garantire che venga svolto un lavoro di qualità su ogni audit.

Passaggio 1: raccogliere informazioni ed enumerare

Il primo passo che X Security compie durante il pentesting delle applicazioni Web consiste nel raccogliere ed enumerare le informazioni sulla destinazione; Questo è anche comunemente indicato come la fase di esplorazione. Questo passaggio è fondamentale perché crea una solida base di informazioni che possono essere successivamente utilizzate per identificare vulnerabilità e vettori di attacco. Nei test di penetrazione, ci sono 2 diverse forme di esplorazione:

• La ricognizione passiva è il processo di identificazione delle informazioni senza mai interagire direttamente con l’applicazione di destinazione. Buoni esempi di ricognizione passiva includono l’utilizzo di Google-Fu per enumerare sottodomini interessanti o il controllo dei repository Github per
  
• L’esplorazione attiva è il processo di ricognizione in cui l’applicazione target viene esaminata direttamente. Esempi di ricognizione attiva includono l’impronta digitale dell’applicazione, la generazione e l’analisi di codici di errore e la scansione di porte aperte.

Passaggio 2: modellazione delle minacce

La modellazione delle minacce è un passaggio essenziale ma spesso trascurato per un pentest di alta qualità. In questa fase, i revisori utilizzano le informazioni apprese in precedenza per identificare dati sensibili, aree di interesse e logica di business da esaminare ulteriormente. Un’altra parte importante della modellazione delle minacce è la categorizzazione di diversi tipi di dati che possono essere ottenuti durante un pentest in modo da indicare la gravità dei diversi risultati. La modellazione delle minacce aiuta i pentester a comprendere più di semplici aspetti tecnici dei risultati e consente loro di formulare i risultati in modo da allinearsi con il business.

Passaggio 3: analisi delle vulnerabilità

Una volta che i revisori entrano nella fase di valutazione delle vulnerabilità, utilizzano strumenti per identificare attentamente le vulnerabilità nell’applicazione. Gli strumenti automatizzati aiutano a identificare le vulnerabilità a bassa pendenza prima che il nostro team si trasferisca dove trascorriamo la maggior parte del nostro tempo: analisi manuale e sfruttamento. Spesso ci viene chiesto che tipo di strumenti automatizzati utilizziamo per la scansione. Mentre la risposta varia in base all’ambito, ci affidiamo regolarmente ad alcuni strumenti commerciali che abbiamo integrato noi stessi, come Burpsuite Pro, Metasploit e Nessus.

Fase 4: Riciclaggio

In questa fase del test di penetrazione, iniziamo sfruttando in modo sicuro le vulnerabilità e le configurazioni errate identificate per determinare quale impatto avrebbero i vari risultati sul business. La fase di ripristino consente ai revisori di comprendere meglio in che modo le varie vulnerabilità potrebbero influire sull’azienda e, in ultima analisi, aiuta il cliente a dare priorità alle proprie azioni correttive. Di seguito sono riportati alcuni dei problemi che i nostri revisori cercano di sfruttare in un pentest di un’applicazione Web.

• Cross-Site Scripting (XSS): un attore malintenzionato può iniettare codice dannoso che viene eseguito su un utente ignaro. Ciò può consentire all’utente malintenzionato di impersonare la vittima, intercettare le sue credenziali o persino reindirizzarle da un sito Web legittimo a un sito Web dannoso.
  
• SQL injection: gli aggressori possono interrompere le query dell’applicazione al suo database. Ciò può consentire a un utente di visualizzare dati sensibili dal database, apportare modifiche al database o persino eliminare il database.
  
• Difetto nella logica di business: quando i team di progettazione / sviluppo fanno false ipotesi su come gli utenti possono interagire con l’applicazione, si aprono opportunità che possono essere sfruttate da un utente malintenzionato. Un esempio comune è il bypass aziendale, che presuppone che tutti gli utenti passeranno attraverso un processo specifico. Un utente malintenzionato potrebbe essere in grado di saltare questo processo, il che potrebbe portare a errori che rivelano informazioni riservate.
  

Passaggio 5: documentazione e reporting

Alla fine di ogni test di penetrazione, i clienti ricevono un report che documenta i risultati e include passaggi attuabili per migliorare la sicurezza della loro applicazione web. In questa fase, riassumiamo tutti i risultati del pentest e li compiliamo in un report. Ciò che ottieni con il rapporto è descritto di seguito:

• Sintesi e raccomandazioni strategiche
• Punti di forza e di debolezza
• Documentazione tecnica: procedure di test e screenshot
• Passaggi attuabili per porre rimedio
• Documento di sintesi (divulgazione a terzi senza rivelare informazioni altamente sensibili)
  

È importante sottolineare il valore di un buon rapporto pentest:  aiuta con decisioni strategiche e budget, viene fornito ai revisori per la conformità a norme e regolamenti e può essere reso disponibile ai clienti aziendali che richiedono pentest annuali dai loro fornitori di servizi di terze parti. 

Passaggio 6: test per correggere le carenze e aggiornare i report

Dopo che un cliente ha seguito i passaggi di correzione descritti nel report, i nostri revisori conducono un test di correzione per garantire che non solo tutte le vulnerabilità identificate in precedenza siano state eliminate, ma anche che non siano emerse nuove vulnerabilità durante il processo di correzione. Pubblicheremo anche un rapporto aggiornato e un documento di sintesi che riflette la condizione risolta.

Valutazione della preparazione al ransomware

Aiutiamo i nostri clienti a capire come agire contro un elenco completo di ceppi di ransomware. Esaminiamo i controlli e le politiche necessari che possono mitigare l’impatto dei nuovi ceppi di ransomware. La nostra valutazione della preparazione al ransomware è un approccio proattivo per affrontare i problemi di ransomware di cui tutte le organizzazioni si preoccupano.

Rapporto Pentest utilizzabile

I nostri report documentano ogni fase del lavoro in modo chiaro e conciso. I rapporti includono una sintesi che traduce i risultati altamente tecnici in informazioni per il senior management. Noterai anche che i nostri rapporti contengono informazioni dettagliate sui risultati tecnici, sulla loro riproducibilità e sui modi per risolverli. Insieme a questi approfondimenti, riceverai indicazioni sulle best practice per rafforzare ulteriormente il tuo livello di sicurezza.

Perché dovrebbero lavorare con noi?

Esperienza.

Abbiamo un piccolo team che si concentra esclusivamente sui test di penetrazione. La nostra esperienza deriva da anni di lavoro nelle più prestigiose aziende di test di penetrazione con alcuni dei più grandi clienti in tutto il mondo. Ogni membro del team ha un background di sicurezza aggressivo e anni di esperienza nella conduzione di pentest. 

Scopo.

Certo, le aziende con una missione o uno scopo sono un cliché in questi giorni. Tuttavia, la crescente attenzione dei criminali informatici verso le PMI è motivo di preoccupazione. Riteniamo che la mancanza di società di pentesting posizionate per il mercato delle PMI sia una delle cause principali di questo – se il mercato delle PMI non sa dove si trovano le sue vulnerabilità più critiche, come può fare gli investimenti giusti per rafforzare la sua posizione di sicurezza?

Questo è il nostro obiettivo. Vogliamo aiutare il mercato delle PMI a migliorare la sua situazione di sicurezza.

Dieser Beitrag ist auch verfügbar auf: DE EN FR