Test di sicurezza · Solo con l’autorizzazione del proprietario
Il tuo sito può essere violato? Lo verifichiamo gratuitamente.
Se non troviamo problemi, ricevi gratuitamente anche il report. Paghi il report solo se troviamo problemi, e il suo prezzo dipende da quanti sono e da quanto sono gravi. Testiamo siti web, applicazioni, infrastrutture, sistemi di AI e smart contract come farebbe un vero attaccante.
La verifica del tuo sito non costa nulla. Se non troviamo vulnerabilità, anche il report è gratuito. Il report si paga solo se troviamo vulnerabilità, e il suo prezzo dipende dal loro numero e dalla loro gravità.
01
Invii l’indirizzo
E confermi che il sito è tuo. Prima della verifica il proprietario firma un’autorizzazione con l’indirizzo e le date.
02
Verifichiamo il sito
Dall’esterno, come lo vede un attaccante, da 1 a 5 giorni lavorativi dopo la firma dell’autorizzazione. Senza azioni distruttive e senza carico sul server.
03
Ricevi l’esito
Nessun problema: un report gratuito. Problemi trovati: il loro numero, la loro gravità e il prezzo del report. Il report arriva subito dopo il pagamento; il retest dopo le correzioni è gratuito.
La sicurezza offensiva è un servizio solo se è autorizzata. Queste regole valgono per ogni incarico e per ogni segnalazione di bug bounty, senza eccezioni.
01
Prima l’autorizzazione scritta
I test iniziano dopo che il proprietario degli asset ha firmato l’autorizzazione e il perimetro. Verifichiamo che il firmatario abbia il diritto di firmare.
02
Il perimetro è un confine
Tocchiamo ciò che è elencato e nient’altro. I sistemi di terzi vengono testati solo con il consenso del loro gestore.
03
Solo programmi ufficiali
Nel bug bounty lavoriamo esclusivamente all’interno di programmi ufficiali su piattaforme affermate e seguiamo alla lettera la politica di ogni programma.
04
Prove, non opinioni
Un rilievo viene segnalato una volta riprodotto. È accompagnato da prova, impatto, vettore CVSS 4.0 e passaggi per la correzione.
05
Impronta minima
Dimostriamo l’impatto con l’azione meno invasiva, stiamo lontani dai dati di produzione e ci fermiamo quando si verifica una condizione di arresto.
06
Riservatezza per impostazione predefinita
I rilievi appartengono al cliente. Nulla viene divulgato o pubblicato senza consenso scritto.
03Servizi
Che cosa testiamo
Da una singola applicazione web a una simulazione di attacco completa. Ogni servizio ha un metodo definito, un risultato definito e un prezzo fissato prima dell’inizio del lavoro.
Valutazione di ambienti AWS, Azure, Google Cloud e Kubernetes: identità, esposizione in rete, archivi di dati e percorsi da un punto d’appoggio al controllo completo.
Una simulazione, guidata da un obiettivo, di un avversario reale contro persone, processi e tecnologie, per testare se un attacco verrebbe rilevato e fermato.
Un’esercitazione congiunta: i nostri operatori eseguono le tecniche di attacco una per una mentre i tuoi difensori mettono a punto rilevamento e risposta.
Audit riga per riga di smart contract e della logica del protocollo prima del deploy: revisione manuale, test delle invarianti e revisione delle correzioni.
Progettazione, avvio e gestione del tuo programma di bug bounty: politica, perimetro, tabella delle ricompense, triage e comunicazione con i ricercatori.
Un canale pubblico e un processo funzionante per le segnalazioni di vulnerabilità provenienti dall’esterno: politica, security.txt, ricezione, triage e divulgazione coordinata.
Penetration test con perimetro e documentazione pensati per servire come prova per PCI DSS, SOC 2, ISO/IEC 27001, DORA e NIS2.
Programmi e verifiche
04Come lavoriamo
Dalla richiesta alla correzione verificata
Come si svolge un incarico a pagamento. Ogni passo si conclude con un documento che resta a te.
01
Richiesta
Descrivi i sistemi e l’obiettivo. Un responsabile risponde entro 1 giorno lavorativo.
Codice di riferimento della richiesta
02
Definizione del perimetro
Concordiamo asset, esclusioni, finestre di test, account e contatti. Ricevi una proposta con la metodologia e un prezzo fisso.
Proposta
03
Autorizzazione
Si firmano l’accordo di riservatezza (NDA), il contratto e la lettera di autorizzazione. Si controllano le politiche di test dei tuoi fornitori di hosting e cloud.
Lettera di autorizzazione, regole di ingaggio
04
Test
Test manuali con il supporto di strumenti. I rilievi di gravità critica e alta sono segnalati entro 24 ore dalla conferma, senza trattenerli fino al report finale.
Comunicazioni urgenti dei rilievi
05
Report e debriefing
Una sintesi per la direzione, i dettagli tecnici per gli ingegneri e una chiamata di presentazione con entrambi.
Report
06
Retest
Una volta applicate le correzioni, eseguiamo il retest di ogni rilievo entro 60 giorni dalla consegna del report e rilasciamo una lettera di attestazione.
Il report è il prodotto. Un secondo specialista lo rivede prima che arrivi a te.
Sintesi per la direzione
Il rischio in termini di business, lo stato del sistema e le priorità, in due pagine.
Perimetro e metodo
Che cosa è stato testato, quando, da dove, con quali account e che cosa è rimasto fuori perimetro.
Rilievi
Una voce per ogni problema: descrizione, prove, riproduzione, impatto, vettore CVSS 4.0, CWE, correzione.
Percorsi di attacco
Come debolezze distinte si concatenano fino a una compromissione, passo dopo passo.
Piano di correzione
Le correzioni ordinate in base al rischio che eliminano e all’impegno che richiedono.
Risultati del retest
Lo stato di ogni rilievo dopo la correzione e la lettera di attestazione.
06Modelli di collaborazione
I modi di lavorare con noi
Il modello segue la maturità del sistema e il ritmo dei suoi rilasci.
Verifica gratuita del sito
Una verifica esterna di un solo sito. Scopri se è esposto agli attacchi comuni prima di spendere qualcosa.
Adatto a
Un primo sguardo alla sicurezza di un sito pubblico.
Prezzo
Gratuita. Il report si paga solo se emergono vulnerabilità; il suo prezzo dipende dal loro numero e dalla loro gravità.
Valutazione a perimetro fisso
Un insieme definito di asset viene testato una volta, con un report e un retest.
Adatto a
Rilasci, audit, due diligence, scadenze di conformità.
Prezzo
Prezzo fisso per il perimetro concordato.
Test continui
Un team stabile testa ogni modifica significativa e riesamina il perimetro esterno secondo un calendario.
Adatto a
Prodotti con rilasci ogni settimana.
Prezzo
Canone mensile per un volume di test concordato.
Pagamento a risultato
Una ricerca privata e a tempo limitato svolta dal nostro team. Paghi le vulnerabilità confermate secondo una tabella delle ricompense concordata in anticipo.
Adatto a
Sistemi maturi già testati in precedenza.
Prezzo
Ricompensa per ogni rilievo confermato, con un tetto di budget.
Gestione del programma
Progettiamo, avviamo e gestiamo il tuo programma di bug bounty o di divulgazione: politica, perimetro, triage e comunicazione con i ricercatori.
Adatto a
Aziende che si aprono ai ricercatori esterni.
Prezzo
Costo di avvio e canone mensile di gestione.
07Bug bounty
Una piattaforma in cui le vulnerabilità si pagano ufficialmente
I proprietari pubblicano i programmi e indicano la ricompensa. I ricercatori segnalano le vulnerabilità tramite noi e vengono pagati da noi. Verifichiamo il proprietario, esaminiamo ogni segnalazione e rispondiamo del denaro.
Un programma viene pubblicato solo dopo che il proprietario ha dimostrato con documenti che il sistema è suo.
Il proprietario stabilisce le ricompense. Il ricercatore riceve l’intera ricompensa.
La nostra commissione: 20% di ogni ricompensa, a carico del proprietario.
Ogni segnalazione viene esaminata, riprodotta e valutata sulla scala CVSS 4.0.
Una segnalazione resta tra il ricercatore, il proprietario e noi.
08Standard
Metodi che puoi consultare
Lavoriamo secondo standard pubblici, ne indichiamo la versione e vi associamo i rilievi. Seguire uno standard non equivale ad avere la relativa certificazione: una certificazione compare su questo sito solo insieme a un link dove può essere verificata.
Sì. La verifica in sé non costa nulla, e nemmeno il report se non emergono vulnerabilità. Se troviamo vulnerabilità, ricevi gratuitamente il loro numero e la loro gravità e decidi se acquistare il report; il suo prezzo dipende dal numero e dalla gravità dei rilievi.
Il penetration test è legale?
Sì, se il proprietario del sistema lo ha autorizzato per iscritto. Senza autorizzazione le stesse azioni sono un reato nella maggior parte delle giurisdizioni. Per questo ogni incarico inizia con una lettera di autorizzazione e un perimetro, e per questo verifichiamo che il firmatario abbia il potere di firmare.
Qual è la differenza tra un penetration test e un bug bounty?
Un penetration test è una valutazione a tempo limitato, svolta da un team incaricato su un perimetro concordato, con un report che copre tutto ciò che è stato testato. Un bug bounty è un programma senza scadenza in cui ricercatori indipendenti vengono ricompensati per i rilievi validi. Il primo offre una verifica in un momento preciso, il secondo una scoperta continua. Le organizzazioni mature usano entrambi.
I test interferiranno con la produzione?
Le regole di ingaggio definiscono che cosa è consentito: finestre di test, frequenza delle richieste, tecniche escluse e condizioni di arresto. I test di denial of service (DoS) non vengono mai eseguiti, a meno che tu non li richieda per iscritto. Se osserviamo instabilità, ci fermiamo e chiamiamo il tuo referente.
Come viene determinato il prezzo?
In base alle dimensioni e alla complessità del perimetro, alla profondità dei test e all’accesso fornito. Dopo la definizione del perimetro ricevi un prezzo fisso; cambia solo se cambia il perimetro.
Che cosa succede ai nostri dati?
Raccogliamo il minimo di prove necessario a dimostrare un rilievo. I dati di lavoro sono conservati in forma cifrata e vengono distrutti 30 giorni dopo la chiusura dell’incarico. I report vengono consegnati tramite un canale sicuro concordato in anticipo.
Firmate un NDA?
Sì. L’NDA viene firmato prima che tu condivida qualsiasi dettaglio sui tuoi sistemi.