Applicazioni e API
Se un utente o un tenant riesce a raggiungere i dati di un altro, e se la business logic si può aggirare. La checklist è OWASP ASVS con l’API Security Top 10.
Penetration test per applicazioni web, API e app mobile.
Testo i percorsi che prenderebbe un attaccante e dedico la maggior parte del tempo alle regole del tuo prodotto, come quale tenant vede quali dati o chi può approvare un pagamento.
- Perimetro
- Applicazione e cloud
- Applicazioni web, API, app mobile, percorsi cloud di supporto e dispositivi connessi.
- Durata tipica
- 8–12 giorni
- Il prezzo fisso viene definito dopo lo scoping.
- Deliverable
- Report e debrief
- Evidenze e un fix per ogni finding.
Perimetro
Cosa copre il test.
OWASP fissa la base. Da lì seguo i punti di ingresso e le integrazioni del prodotto.
Di solito il report serve per un cliente enterprise o per una due diligence. Vale anche come evidenza tecnica per ISO 27001, SOC 2 o PCI DSS, anche se la decisione sulla certificazione resta all’auditor.
Cloud e infrastruttura
Servizi esposti e configurazioni errate nel cloud su cui gira il prodotto, e fin dove un attaccante potrebbe arrivare partendo da lì.
Mobile e integrazioni
Cosa salvano sul dispositivo le app iOS e Android e come gestiscono le sessioni, insieme alle API e ai servizi esterni di cui si fidano. La base è OWASP MASVS con MASTG.
Funzioni LLM e agenti
Prompt injection, e cosa un assistente o un agente può leggere o fare con gli strumenti e i dati a cui ha accesso. La base è la OWASP Top 10 for LLM Applications.
Dispositivi e firmware
Quando il prodotto include un dispositivo connesso, cosa espone il firmware e come il dispositivo si autentica verso le tue API e il cloud. La base è la OWASP Firmware Security Testing Methodology.
Processo e tempi
Il test si svolge in quattro fasi.
Circa due settimane lavorative dallo scope concordato al report finale e al debrief. Dopo la prima settimana ricevi una bozza.
- Scope
Prima di iniziare concordiamo cosa rientra nello scope, quali account di test mi servono e cosa non va toccato.
- Test
Gli strumenti automatici coprono la superficie. Ogni pista promettente la seguo a mano, finché non la sfrutto o la escludo.
- Report
Un executive summary per il management, poi ogni finding con il suo impatto e i passi per riprodurlo.
- Retest opzionale
Quando i fix sono rilasciati posso testarli di nuovo. Il retest si prenota a parte.
Il deliverable
Ogni finding arriva con i passi per riprodurlo.
Ogni finding mostra dove si trova il problema nel codice e come correggerlo.
Un executive summary copre esposizione e priorità. Ogni finding riporta:
- Impatto sul prodotto e sui suoi dati
- Severità motivata, con il ragionamento dietro la valutazione
- Asset coinvolti e i componenti interessati
- Evidenze riproducibili del comportamento osservato
- Condizioni di sfruttamento che devono valere perché funzioni
- Passi di riproduzione che i tuoi sviluppatori possono seguire
- Indicazioni di correzione, con la modifica da fare
Da un cliente
Cosa non avevano trovato tre pentest precedenti.
“Giuseppe was able to identify hard to exploit security issues that went undiscovered in the previous 3 pentests performed by 2 different providers.”
Domande frequenti
Domande sul pentest.
Quali informazioni servono per definire lo scope di un penetration test?
Mi serve sapere quali applicazioni e ambienti rientrano nello scope, a quale domanda deve rispondere il test, quali ruoli e account di test sono disponibili, cosa è escluso e quando ti serve il report. Da lì concordiamo il perimetro autorizzato e le regole d'ingaggio.
Testi anche dispositivi IoT?
Sì, su richiesta. Interfaccia web del dispositivo, app collegata e API con cui comunica vengono testate come in ogni pentest, e il firmware viene estratto e analizzato quando lo scope lo consente.
Testi anche funzionalità basate su LLM o agenti di IA?
Sì, come parte del pentest applicativo. Il test copre cosa il modello può leggere e quali azioni può compiere per conto di un utente, compresa la prompt injection attraverso documenti o messaggi che elabora e le chiamate a tool che aggirano i controlli di permesso del prodotto.
Quanto dura normalmente un incarico?
Circa due settimane lavorative. Dopo la prima settimana condivido una bozza del report, e alla fine arrivano il report finale e il debrief. Le date esatte si fissano durante lo scoping.
Cosa contiene il report finale?
Un executive summary, poi i finding in ordine di priorità. Per ciascuno trovi l'impatto, le evidenze, i passi per riprodurlo e come correggerlo.
Il retest è incluso?
Non di default. Il retest è opzionale e si prenota a parte, quando i fix sono pronti.
L’assessment può supportare ISO 27001, SOC 2 o PCI DSS?
Sì, come evidenza tecnica per i clienti o per un programma ISO 27001, SOC 2 o PCI DSS. Un pentest non certifica l'organizzazione e non garantisce la conformità: quella decisione resta all'auditor o all'autorità competente.
Come vengono gestiti scanner, IA e dati del cliente?
Uso harness automatici e modelli open source eseguiti in locale, per coprire più superficie e avere idee su cosa provare. Decido io cosa indagare e verifico di persona ogni finding prima che entri nel report. I dati del cliente non vengono mai inviati a servizi di IA esterni senza la tua autorizzazione scritta.
Altri servizi
Validazione e supporto continuativo.
Validazione dei finding
I finding di scanner, strumenti di IA o assessment precedenti, controllati uno per uno nel tuo codice. Sai quali sono reali e come correggerli.
Supporto alla product security
Brevi review tra un pentest e l’altro: una modifica sensibile prima del rilascio, o un fix da ritestare.
Se il fix richiede codice di produzione, la remediation engineering è disponibile come intervento a parte.
Dimmi cosa testare.
Asset, ambienti e date bastano per iniziare.
Preferisci scrivere direttamente? [email protected]