Test di penetrazione articolo
Cosa include un test di penetrazione delle API
Un test di penetrazione delle API esamina gli endpoint e i ruoli autorizzati per individuare debolezze nell'autenticazione, nell'accesso agli oggetti, nella gestione dei dati e nei controlli contro gli abusi. La documentazione e le identità di test rappresentative migliorano la copertura.
Panoramica della valutazione
Cosa include la valutazione
Copertura dei test
Cosa viene esaminato
La copertura finale dipende dai sistemi, dagli accessi, dagli obiettivi, dalle esclusioni e dai requisiti di sicurezza concordati.
Riferimenti di settore
Su quali elementi si basa la copertura
OWASP API Security Top 10
Copertura basata sul rischio delle debolezze comuni delle API in materia di autorizzazione, dati, risorse e inventario.
Guida OWASP ai test di sicurezza web
Tecniche di test a supporto della verifica di autenticazione, sessioni, gestione degli input e trasporto.
NIST SP 800-115
Pianificazione della valutazione, gestione delle evidenze, analisi e mitigazione.
Questi riferimenti orientano la valutazione. I test non costituiscono di per sé una certificazione né garantiscono la conformità.
Rapporto finale
Cosa è incluso nel rapporto
Il rapporto è destinato sia ai decisori sia ai team responsabili degli interventi correttivi.
Discuta l'ambito richiesto e il rapporto.
DIGITPOL confermerà i sistemi da sottoporre a test, i vincoli, le evidenze necessarie e i requisiti di rendicontazione prima dell'esecuzione dei test.