Guida OWASP ai test di sicurezza web
Copertura dei test per la valutazione della sicurezza delle applicazioni web.
Test di penetrazione
Test di penetrazione delle applicazioni web
Una revisione dei controlli di sicurezza di un'applicazione web condotta da uno specialista dei test, inclusi i flussi di lavoro autenticati e la logica di business che gli scanner automatizzati non possono valutare in modo affidabile.
Perimetro della valutazione
Cosa viene testato
La copertura definitiva dei test viene concordata durante la definizione dell'ambito ed è limitata ai sistemi per i quali è stata fornita un'autorizzazione scritta.
Autenticazione e recupero dell'account
Gestione delle sessioni
Controllo degli accessi e limiti dei privilegi
Gestione degli input e rischi di injection
Abuso della logica di business
Dati sensibili e controlli di sicurezza del browser
Flusso operativo dell'incarico
Controllato dall'autorizzazione al nuovo test.
01
Ambito e autorizzazione
Definisca obiettivi, sistemi approvati, vincoli, finestre di test, contatti e regole di ingaggio.
02
Analisi preliminare
Definisca la superficie di attacco autorizzata, l'architettura, i ruoli utente, gli asset e i criteri di valutazione applicabili.
03
Test controllati
Valutare il perimetro approvato utilizzando metodi manuali e tecnici adeguati all'ambiente.
04
Validazione
Confermare i risultati in sicurezza, eliminare i falsi positivi e determinare l'impatto concreto sul piano tecnico e aziendale.
05
Reportistica
Riceva risultati supportati da evidenze, valutazioni del rischio, una sintesi per la direzione e le priorità di correzione.
06
Revisione degli interventi correttivi
Esamini le azioni correttive proposte e chiarisca le priorità di implementazione con il team di valutazione.
07
Nuovo test
Verifichi le correzioni concordate e registri se ciascuna criticità sottoposta a test è stata risolta, mitigata o rimane aperta.
Riferimenti per la valutazione
Standard e linee guida di settore
OWASP ASVS
Verifica dei controlli e del contesto di rendicontazione, laddove sia concordato un livello di garanzia.
PTES
Definizione dell'ambito, validazione controllata, analisi successiva ai test e rendicontazione.
Gli standard orientano l'ambito e la copertura dei test. Una valutazione non costituisce di per sé una certificazione né garantisce la conformità.
Reportistica
Cosa riceverà
Copertura correlata alle funzioni applicative concordate
Risultati tecnici riproducibili
Evidenze e ruoli interessati
Indicazioni per la correzione destinate ai team di sviluppo
Test di verifica facoltativo
Definisca un ambito di test appropriato.
Discuta con DIGITPOL i sistemi, gli obiettivi, il livello di accesso e le evidenze richieste.