Pentesting di applicazioni web / API
... > Servizi di pentesting > Applicazioni web / API'S Pentesting
Applicazioni web / API'S Pentesting
Applicazioni web
Le applicazioni web sono molto importanti per molte organizzazioni. Ad esempio, i negozi online dipendono completamente da queste applicazioni per il funzionamento regolare e sicuro del loro sito. Queste applicazioni sono ovviamente utilizzate per molti altri scopi, come l'online banking, le comunicazioni governative, la visualizzazione dei risultati scolastici o la prenotazione di appuntamenti in ospedale.
I siti web che consentono all'utente di effettuare il login per visualizzare informazioni personali e sensibili alla privacy sono particolarmente vulnerabili. Anche se l'accesso a questi siti web è solitamente ben protetto, le cose possono andare male dopo che un utente ha effettuato il login e diventa improvvisamente in grado di visualizzare o addirittura alterare i dati di qualcun altro.
API
Lo stesso vale per le API (Application Programming Interface). Queste applicazioni consentono a diversi sistemi (software) di comunicare tra loro. I test API sono simili per molti aspetti ai normali test delle applicazioni, ma a causa delle diverse tecnologie utilizzate (SOAP/REST/XML) i test effettivi differiscono. I test vengono eseguiti sia come utente autenticato, sia come utente non autenticato.
Le applicazioni saranno studiate a fondo e testate per tutti i tipi di errori di progettazione, configurazione e programmazione, naturalmente con la massima attenzione alle debolezze di sicurezza della OWASP Top 10 (versione 2013 e 2017 combinate).
Tradotto in problemi di sicurezza concreti, questo comporta i seguenti test:
- Testare il processo di registrazione e di login per verificare la possibilità di appropriarsi dell'account di qualcun altro.
- Verificare se il meccanismo di sessione è stato strutturato in modo adeguato e sicuro.
- Verifica se gli utenti hanno accesso non autorizzato ai dati di altri utenti (controlli orizzontali di autorizzazione).
- Verificare se gli utenti possono richiedere funzionalità e dati di utenti con privilegi elevati (controlli di autorizzazione verticali).
- Verifica della resistenza al cracking 'brute-force' del meccanismo della password, compresi eventuali meccanismi di blocco.
- Verificare in che misura il sito è sensibile agli attacchi di iniezione, come 'Cross Site Scripting' e 'SQL injection'.
- Bypassare e abusare della logica aziendale all'interno dell'applicazione.
- Verifica della forza della connessione TLS.
- Testando se i meccanismi di sicurezza come la Content Security Policy sono implementati in modo sicuro.
Vorrei saperne di più sul Pentesting delle applicazioni web / API
I NOSTRI SERVIZI
Pentesting CLOUD
Pentesting Wi-Fi
Pentesting hardware / IoT
L'hardware, il firmware e i backend (di abitazione in cloud) sono tutti obiettivi degli aggressori e spesso non sono ben compresi. Bureau Veritas Cybersecurity può testare tutti questi aspetti e applicare anche tecniche di reverse engineering e di hacking del firmware per scoprire quali punti deboli esistono.
Pentesting dell'infrastruttura
Perché scegliere Bureau Veritas Cybersecurity?
Bureau Veritas Cybersecurity è il vostro partner esperto in materia di sicurezza informatica. Aiutiamo le organizzazioni a identificare i rischi, rafforzare le difese e conformarsi agli standard e alle normative in materia di sicurezza informatica. I nostri servizi riguardano persone, processi e tecnologie, dalla formazione sulla consapevolezza e l'ingegneria sociale alla consulenza sulla sicurezza, la conformità e i test di penetrazione.
Operiamo in ambienti IT, OT e IoT, supportando sia i sistemi digitali che i prodotti connessi. Con oltre 300 professionisti della sicurezza informatica in tutto il mondo, uniamo una profonda competenza tecnica a una presenza globale. Bureau Veritas Cybersecurity fa parte del Bureau Veritas Group, leader mondiale nel settore dei test, delle ispezioni e delle certificazioni.