OWASP API Security Top 10
Copertura basata sul rischio delle debolezze comuni delle API in materia di autorizzazione, dati, risorse e inventario.
Test di penetrazione
Test di penetrazione delle API
Una valutazione strutturata degli endpoint API, delle identità, delle autorizzazioni per i singoli oggetti, dei flussi di dati e dei controlli contro gli abusi, utilizzando ruoli rappresentativi e dati di test autorizzati.
Perimetro della valutazione
Cosa viene testato
La copertura definitiva dei test viene concordata durante la definizione dell'ambito ed è limitata ai sistemi per i quali è stata fornita un'autorizzazione scritta.
Autorizzazione per oggetti e funzioni
Autenticazione e ciclo di vita dei token
Validazione degli input e injection
Limiti di frequenza e consumo di risorse
Esposizione di dati sensibili
Inventario, gestione delle versioni e integrazioni non sicure
Flusso operativo dell'incarico
Controllato dall'autorizzazione al nuovo test.
01
Ambito e autorizzazione
Definisca obiettivi, sistemi approvati, vincoli, finestre di test, contatti e regole di ingaggio.
02
Analisi preliminare
Definisca la superficie di attacco autorizzata, l'architettura, i ruoli utente, gli asset e i criteri di valutazione applicabili.
03
Test controllati
Valutare il perimetro approvato utilizzando metodi manuali e tecnici adeguati all'ambiente.
04
Validazione
Confermare i risultati in sicurezza, eliminare i falsi positivi e determinare l'impatto concreto sul piano tecnico e aziendale.
05
Reportistica
Riceva risultati supportati da evidenze, valutazioni del rischio, una sintesi per la direzione e le priorità di correzione.
06
Revisione degli interventi correttivi
Esamini le azioni correttive proposte e chiarisca le priorità di implementazione con il team di valutazione.
07
Nuovo test
Verifichi le correzioni concordate e registri se ciascuna criticità sottoposta a test è stata risolta, mitigata o rimane aperta.
Riferimenti per la valutazione
Standard e linee guida di settore
Guida OWASP ai test di sicurezza web
Tecniche di test a supporto della verifica di autenticazione, sessioni, gestione degli input e trasporto.
NIST SP 800-115
Pianificazione della valutazione, gestione delle evidenze, analisi e mitigazione.
Gli standard orientano l'ambito e la copertura dei test. Una valutazione non costituisce di per sé una certificazione né garantisce la conformità.
Reportistica
Cosa riceverà
Riepilogo della copertura di endpoint e ruoli
Risultanze convalidate corredate di evidenze delle richieste
Analisi degli scenari di abuso e dell'impatto aziendale
Indicazioni tecniche per la correzione
Nuovo test di verifica
Definisca un ambito di test appropriato.
Discuta con DIGITPOL i sistemi, gli obiettivi, il livello di accesso e le evidenze richieste.