JwardWeb Penetration Testing
Attacchi simulati su siti, portali, web application e API: verifichiamo autenticazione, gestione delle sessioni, controllo degli accessi e logica applicativa con riferimento alla metodologia OWASP.
In sintesi
Chi espone online portali clienti, e-commerce, gestionali web o API
Intervento one-shot o inserito in una roadmap di sicurezza
OWASP Top 10 · OWASP WSTG
Il servizio, punto per punto.
Autenticazione e sessioni
Mettiamo alla prova login, recupero password, MFA e gestione dei token di sessione, per verificare che nessuno possa impersonare un altro utente.
Controllo degli accessi
Verifichiamo che ogni utente veda e faccia solo ciò che il suo ruolo consente, cercando accessi a dati altrui ed escalation di privilegi nell’applicazione.
Injection e XSS
Testiamo le classi di vulnerabilità più sfruttate sul web, dalle injection SQL e di comandi al cross-site scripting, seguendo le linee guida OWASP.
API
Analizziamo le API REST e GraphQL usate da app, portali e integrazioni: autenticazione, autorizzazioni, validazione dei dati ed esposizione di informazioni.
Un percorso chiaro, dall'inizio alla fine.
- Analisi dell’applicazioneStudiamo funzionalità, ruoli utente, API e flussi critici dell’applicazione, e concordiamo ambiente di test (staging o produzione), account e finestre temporali.
- Test manuali e automaticiCombiniamo strumenti automatici e test manuali secondo la metodologia OWASP, concentrandoci su autenticazione, autorizzazioni, gestione degli input e logica applicativa.
- Report per sviluppatori e direzioneOgni vulnerabilità è documentata con i passi per riprodurla, l’impatto e le indicazioni di correzione per gli sviluppatori, più un executive summary per la direzione.
- Correzione e re-checkRestiamo a disposizione del team di sviluppo durante le correzioni e ti consigliamo fortemente un re-check per confermare in modo puntuale che le vulnerabilità siano state risolte.
- Report tecnico con evidenze, livello di rischio e priorità
- Executive summary in linguaggio non tecnico per la direzione
- Piano di remediation con azioni consigliate
- Re-check dopo le correzioni, fortemente consigliato
Prima di iniziare.
Preferiamo un ambiente di staging identico alla produzione; se non è disponibile, lavoriamo in produzione con cautele concordate, evitando azioni che possano alterare dati reali.
Per verificare davvero autorizzazioni e separazione dei dati servono account di test per ciascun ruolo. Possiamo anche partire senza credenziali, per simulare un attaccante esterno.
Sì: per ogni vulnerabilità trovi i passi per riprodurla, l’impatto e indicazioni di correzione concrete, con riferimenti OWASP. Restiamo disponibili per chiarimenti durante le correzioni.
Dipende dalla dimensione dell’applicazione, dal numero di ruoli e funzionalità e dalla presenza di API da testare. Dopo una prima call ti inviamo una proposta su misura.
Spesso abbinato a.
Parliamo del tuo caso.
Una prima call senza impegno per capire perimetro, priorità e tempi.