Sicurezza applicativa
Penetration test e vulnerability assessment
Troviamo le falle delle tue applicazioni prima che lo faccia qualcun altro: applicazioni web, API e infrastruttura cloud. Lavoriamo solo con un incarico scritto e con processi certificati ISO 27001.
Cosa facciamo
Vulnerability assessment
Analizziamo applicazioni web, API e infrastruttura cloud alla ricerca di vulnerabilità note e di configurazioni deboli. Ogni punto ha un livello di gravità.
Penetration test applicativo
Proviamo ad attaccare l’applicazione come farebbe un aggressore: autenticazione, permessi, gestione delle sessioni, input, logica di business.
Revisione sicura del codice
Leggiamo il codice sorgente alla ricerca di errori che aprono falle: iniezioni, segreti esposti, controlli di accesso mancanti, dipendenze vulnerabili.
Verifica delle correzioni
Dopo le correzioni ripetiamo i test sui punti trovati e confermiamo per iscritto quali sono chiusi.
Su quali sistemi
- Il software che sviluppiamo e gestiamo per i nostri clienti
- Le applicazioni web, le API e l’infrastruttura cloud dei clienti, anche costruite da altri
- I nostri sistemi interni e i prodotti della Eleven Suite
Le regole che seguiamo
Solo con autorizzazione scritta
Testiamo un sistema solo con un incarico firmato da chi ne è titolare, con perimetro, indirizzi e finestre orarie definiti.
Mai fuori perimetro
Sistemi di terzi, fornitori o servizi condivisi restano fuori, se il loro titolare non ha dato il proprio consenso.
Dati protetti
Risultati e dati raccolti durante i test sono trattati dentro il nostro sistema di gestione certificato ISO 27001 e restano riservati.
Divulgazione responsabile
Se troviamo una vulnerabilità in un software di terze parti, la segnaliamo prima al produttore e la rendiamo pubblica solo dopo la correzione.
Come lavoriamo
- 01
Perimetro e incarico
Definiamo insieme cosa testare, come e quando. Lo mettiamo per iscritto e lo firmi.
- 02
Test
Eseguiamo i test concordati, senza toccare nulla fuori perimetro.
- 03
Rapporto
Ogni vulnerabilità con gravità, prove e indicazioni per correggerla. Lo spieghiamo anche a chi non è tecnico.
- 04
Retest
Verifichiamo le correzioni e chiudiamo il lavoro con un esito scritto.
Chi risponde del servizio
Il servizio fa capo a Emanuele Martino Podo, che ne è responsabile. I test li guida Federico Targa, CTO di elevenhats.
Tutto il lavoro rientra nel nostro sistema di gestione per la sicurezza delle informazioni, certificato ISO/IEC 27001:2022. Vedi le certificazioni
In English
elevenhats offers application security testing: vulnerability assessment, penetration testing, secure code review and fix validation for web applications, APIs and cloud infrastructure. We test client systems only under a signed engagement with written authorization and a defined scope, within our ISO/IEC 27001-certified management system.