Analisi automatizzate
Ogni settimana analizziamo i sistemi e gli ambienti definiti nel perimetro. Uno specialista rivede i risultati e ricevi evidenze, priorità e indicazioni per correggere le vulnerabilità.
Definisci il perimetro
Il tuo team di sicurezza offensiva, in modo continuo.
Pentesty riunisce specialisti e tecnologie proprietarie in un programma di sicurezza offensiva adattato al tuo prodotto e al tuo business. Combiniamo pentest, Red Team, analisi automatizzate e altri servizi del portfolio in base ai tuoi rischi e obiettivi, seguendo le modifiche del prodotto e l’avanzamento delle correzioni.
Costruiamo il tuo programma di sicurezzaIl tuo prodotto definisce il perimetro.
Ogni lavoro parte dal tuo contesto: il tuo prodotto, i tuoi rischi e le tue priorità. Da lì costruiamo un perimetro personalizzato e indirizziamo i test verso ciò che può compromettere la tua operatività, i tuoi dati e la fiducia dei tuoi clienti.
Pentest
WebApplicazioni, autenticazione, permessi e logica di business. Valutiamo i flussi che sostengono la tua operatività.
APIAutorizzazione, esposizione dei dati, integrazioni e isolamento tra utenti e organizzazioni.
MobileApp Android e iOS, archiviazione locale, comunicazione e integrazioni incluse nel perimetro.
InfrastrutturaReti interne ed esterne, servizi, identità e dispositivi connessi, comprese telecamere e tornelli. Valutiamo la sicurezza degli asset di rete definiti nel perimetro.
CloudAccount e progetti cloud, permessi, risorse esposte e relazioni di fiducia tra servizi.
Red Team
- Red Team continuoIl nostro team conduce simulazioni di attacco ricorrenti, rivede gli obiettivi con il tuo team e verifica le correzioni tra un esercizio e l’altro.
- Emulazione di avversariScenari basati su minacce rilevanti per valutare come le tue difese rispondono alle tecniche previste dall'esercitazione.
- Ingegneria socialeSimulazioni per valutare come il tuo team riconosce e reagisce a tentativi di manipolazione e frode, seguendo scenari e limiti concordati.
- Intrusione fisicaTest di accesso fisico integrati negli scenari del Red Team, con luoghi, obiettivi e limiti concordati con il tuo team.
- Campagne di phishingSimulazioni concordate per misurare il riconoscimento e la segnalazione dei tentativi di frode e orientare miglioramenti in persone, processi e controlli.
Come lavoriamo
01
Contesto e priorità
Comprendiamo il tuo prodotto, i rischi per il business e i tuoi obiettivi. Insieme selezioniamo i servizi e definiamo perimetro, accessi, limiti e cadenza del programma.
02
Test con specialisti e tecnologie proprietarie
Eseguiamo i test e gli esercizi previsti nel perimetro. Le nostre tecnologie proprietarie supportano l’indagine, e i nostri specialisti verificano le evidenze e valutano l’impatto sul tuo business.
03
Risultati e indicazioni di correzione
Presentiamo i risultati e diamo priorità alle correzioni in base all’impatto. Il tuo team riceve evidenze e indicazioni per implementare le modifiche, incluso un prompt di correzione per ogni risultato.
04
Retest e ciclo successivo
Verifichiamo le correzioni nei retest concordati e registriamo l’evoluzione dei risultati. Rivediamo le priorità con il tuo team per pianificare il ciclo successivo e tenere conto delle modifiche del prodotto.
Costruiamo il tuo programma di sicurezza
La combinazione di servizi, la cadenza e la profondità dei test sono definite nel perimetro del programma e riviste con il tuo team quando rischi e priorità cambiano.
Chiarezza per decidere. Evidenze per correggere.
Ricevi evidenze validate da specialisti e priorità di correzione legate all'impatto sulla tua azienda, con profondità e formato definiti per il tuo programma o progetto.
Scopri la nostra metodologiaSintesi esecutivaPiattaforma di esempio
Tre priorità per questo ciclo
I rischi seguenti riguardano i dati dei clienti e la negoziazione dei contratti. La correzione del primo punto deve precedere il prossimo rilascio.
- Esportazione di dati senza controllo degli accessiRischio di esposizione dei dati dei clientiAlta
- Sessioni valide dopo il cambio passwordRischio di appropriazione dell'accountMedia
- Permessi ampi su un account di servizioAmplifica l'impatto di un eventuale accesso non autorizzatoMedia
Report tecnicoRilievo di esempio · CVSS 8.6
Esportazione di dati accessibile tra organizzazioni
Un utente autenticato può esportare i record di un'altra organizzazione modificando l'identificativo nella richiesta.
GET /api/v2/orgs/4817/export HTTP/2 Authorization: Bearer <token dell'organizzazione 2093> HTTP/2 200 record di un'altra organizzazione
Raccomandazione: verificare sul server che l'utente appartenga all'organizzazione richiesta prima di generare l'esportazione.
Copertura e limitiPiattaforma di esempio
Cosa è stato valutato e in quali condizioni
- Applicazione web e autenticazioneTestato con due profili di accessoValutato
- API pubblica v2Ambiente di stagingValutato
- Webhook di pagamentoSenza credenziali del partner durante la finestra di testNon conclusivo
- App AndroidFuori dal perimetro di questo cicloNon incluso
Convalida delle correzioniRetest di esempio
Cosa è cambiato dall'ultimo ciclo
- Esportazione di dati tra organizzazioniLa richiesta ora restituisce 403Corretto
- Sessioni dopo il cambio passwordLe sessioni mobili restano ancora attiveRichiede attenzione
- Permessi dell'account di servizioPermessi ridotti al necessarioCorretto
Prompt di correzioneRilievo di esempio
Pronto per il tuo team o strumento di IA
Contesto: la route GET /api/v2/orgs/:id/export non verifica se l'utente appartiene all'organizzazione richiesta. Attività: aggiungi la verifica sul server, prima di generare l'esportazione, e restituisci 403 se l'utente non è membro. Come convalidare: ripeti la richiesta con il token di un'altra organizzazione e conferma il 403. Poi conferma che i membri legittimi continuano a esportare normalmente.
Il tuo team rivede e applica la modifica. Il retest conferma il risultato alle condizioni contrattuali.
Contenuto illustrativo. Profondità e formato sono definiti per il tuo programma o progetto.
Domande frequenti
Hai dubbi? Scrivici a support@pentesty.co
Quali servizi offre Pentesty?
Offriamo pentest Web, API, Mobile, Infrastruttura e Cloud, analisi automatizzate ed esercitazioni di Red Team, tra cui emulazione di avversari, ingegneria sociale e phishing. Combiniamo i servizi in un programma ricorrente o in un progetto singolo, secondo il perimetro concordato.
Qual è la differenza tra Pentest e Red Team?
Il Pentest indaga le vulnerabilità in un perimetro definito. Il Red Team simula le azioni di un attaccante per valutare come rispondono i tuoi team e controlli. Nel programma continuo, rivediamo gli obiettivi con il tuo team, eseguiamo campagne concordate e seguiamo le correzioni. Le esercitazioni possono combinare emulazione di avversari, ingegneria sociale, phishing e intrusione fisica.
Come usa Pentesty le tecnologie proprietarie?
Le nostre tecnologie proprietarie supportano gli specialisti nell'indagine delle vulnerabilità e nell'approfondimento delle analisi. Loro verificano le evidenze, valutano l'impatto sul tuo prodotto e danno priorità alle correzioni in base ai rischi per la tua azienda.
Cosa ricevo alla fine del lavoro?
Ricevi una sintesi esecutiva e un report tecnico. Ogni rilievo include evidenze, priorità e raccomandazioni di correzione. Il tuo team rivede e applica le modifiche. Presentiamo i risultati e, nel Red Team, i percorsi di attacco e come i tuoi team e controlli hanno risposto ai test.
Quanto costa e quanto tempo richiede?
Investimento, tempi e frequenza dipendono da sistemi, rischi, obiettivi e profondità del lavoro. Definiamo servizi, perimetro, calendario, consegne e condizioni di retest nella proposta prima di iniziare.
Come funziona il programma ricorrente?
Partiamo dai rischi e dagli obiettivi della tua azienda per definire quali servizi del nostro portfolio hanno senso in ogni fase. Durante il programma, rivediamo le priorità con il tuo team, indaghiamo le vulnerabilità e convalidiamo le correzioni concordate. La combinazione di servizi, la frequenza dei lavori e i retest sono definiti nella proposta.
Posso richiedere un progetto singolo?
Sì. Se devi valutare un sistema, indagare un rischio specifico o svolgere un'esercitazione definita, possiamo strutturare un progetto singolo. Perimetro, tempi, consegne e condizioni di retest sono concordati nella proposta.
Il retest è incluso?
Il retest verifica le correzioni dei rilievi concordati. L'inclusione, i tempi, il numero di cicli e i limiti sono definiti nella proposta. Nuovi asset o modifiche rilevanti possono richiedere un nuovo perimetro.
Il report aiuta in audit e compliance?
Le evidenze possono supportare audit e valutazioni di conformità. L'accettazione dipende dal requisito, dal perimetro e dalla valutazione dell'auditor. Il report non certifica la conformità né garantisce l'approvazione per ISO 27001, SOC 2, PCI DSS o LGPD.
Come vengono autorizzati e condotti i test?
Prima dell'esecuzione, allineiamo autorizzazione, asset, tecniche consentite, finestre, contatti e condizioni di interruzione. L'ingegneria sociale e le attività fisiche hanno limiti propri. Il trattamento delle evidenze è concordato con il cliente.
Costruiamo il perimetro per il tuo prodotto?
Parla con i nostri specialisti del tuo prodotto, dei tuoi rischi e delle tue priorità. Insieme definiamo il lavoro che ha senso per la tua azienda.
Crea il mio programma