Prima dello sviluppo
Review di un flusso sensibile, dei trust boundary e degli abusi plausibili.
Dopo l'assessment
Security review tra un pentest completo e l’altro.
Un tester indipendente che conosce già il tuo prodotto, da richiamare quando cambia una funzione sensibile o un fix va ritestato.
- Ideale
- Dopo un assessment
- Prodotto, team e profilo di rischio già conosciuti.
- Tempistica
- Quando serve
- Prima di una release, o dopo un fix.
- Scope
- Una modifica
- Concordato prima della review.
Quando usarla
Quando il prodotto cambia dopo un pentest.
Un nuovo modello di permessi o un’integrazione raramente richiedono un pentest completo.
Concordiamo una review più piccola su quella modifica, comprese le evidenze che riceverai. Se la modifica è abbastanza ampia da richiedere un pentest completo, te lo dico durante la call di scoping.
Prima della release
Verifica del percorso modificato, o retest di un fix, con la registrazione di ciò che è stato verificato.
Un esempio
Link di condivisione aggiunti due mesi dopo il pentest.
Il prodotto è stato testato a marzo. A maggio il team aggiunge link per condividere un documento con persone esterne al loro account.
- Definire la modifica
La review copre chi può aprire un link condiviso, e se l’accesso termina quando il link viene revocato.
- Testare prima del rilascio
I nuovi flussi vengono testati in staging, e ogni finding viene riportato con evidenze e un fix.
- Ritestare i fix
Quando i fix sono rilasciati, gli stessi percorsi vengono ritestati e il report registra cosa è stato verificato.
Review e pentest completi
Quando serve ancora un pentest completo.
Una review guarda una modifica. Un pentest completo guarda il prodotto nel suo insieme, compreso come le modifiche interagiscono e i percorsi che un attaccante può concatenare tra funzioni diverse. Le review funzionano al meglio tra un pentest completo e l’altro, e tengono aggiornato l’ultimo report fino al successivo.
Una review
Una modifica prima del rilascio, o il retest di un fix.
Un pentest completo
L’intero prodotto nello scope, dopo modifiche importanti o quando dall’ultimo test si sono accumulate molte modifiche.
Fuori da questo servizio
La gestione del tuo programma di sicurezza, o la reperibilità on-call.
Domande frequenti
Domande sulle review tra un pentest e l’altro.
In cosa una review è diversa da un pentest completo?
Un pentest copre l’intero prodotto nello scope. Una review copre una modifica, quindi è più breve, e il suo report vale solo per quella modifica.
Cosa serve per definire una review?
La modifica e come funziona, la data di rilascio, gli accessi di test e il report precedente, se c’è.
Le review si possono prenotare con un piano?
Sì. Si possono prenotare una alla volta, senza costi tra l’una e l’altra, oppure con un piano annuale: un pentest completo più un numero di giorni di review concordato all’inizio.
Una review può ritestare i fix dell’ultimo pentest?
Sì. Ritestare i fix dei finding dell’ultimo report è una delle review più comuni, e il risultato viene registrato rispetto ai finding originali.
Altri servizi
Da dove parte di solito il lavoro.
Penetration testing web, API e mobile
Un test della tua app web, API o mobile, del cloud su cui gira e dei dispositivi che vi si collegano.
Validazione dei finding
I finding di scanner, strumenti di IA o assessment precedenti, controllati uno per uno nel tuo codice. Sai quali sono reali e come correggerli.
Se il fix richiede codice di produzione, la remediation engineering è disponibile come intervento a parte.
Raccontami cosa è cambiato dall’ultimo test.
Invia la modifica, la data di rilascio e il report precedente, se c’è.
Preferisci scrivere direttamente? [email protected]