12 / Ambiti
Verifica della protezione
Cerchiamo falle nell'accesso e nello scambio dei dati, chiudiamo ciò che è critico e lasciamo regole, non un rapporto una tantum.
Ai prodotti in cui entrano già dati altrui, o in cui si preparano a far entrare un committente esterno.
Accesso
Ruoli
Cliente
Collaboratore
Admin
Ordine
File
Versamento
Ingresso
Ruolo
Altrui
Chiuso
Rischio
Elenco
Di cosa è fatto
Cosa entra nel sistema
- 01
Ingressi
Guardiamo come si entra: sito, area, API, posta, password condivisa, un account di prova dimenticato.
- Elenco degli ingressi
- Cosa è aperto senza ingresso
- Dove la password è una per tutti
- 02
Chi vede cosa
Un ruolo non deve aprire un ordine altrui, un file altrui o un pagamento altrui con un link diretto.
- Verifica dei diritti sugli oggetti
- Link che vivono troppo a lungo
- Le azioni di admin nel registro
- 03
Dati in viaggio e su disco
Cifratura dove i dati viaggiano e dove restano. I segreti non stanno nel repository e non stanno in chat.
- Canale fino al server
- Copie e chi le legge
- Dove stanno le chiavi e come si cambiano
- 04
Cosa chiudere ora
I rilievi li dividiamo per gravità. Ciò che è critico lo chiudiamo prima di scrivere un rapporto lungo.
- Una falla da cui si può già entrare
- Cosa si sistema con una configurazione
- Cosa richiede un assemblaggio a parte
- 05
Cosa resta un rischio
Non tutto si chiude lo stesso giorno. Il resto è scritto: cos'è, chi l'ha preso e quando tornarci.
- Elenco dei rischi accettati
- Chi risponde
- Un secondo sguardo dopo la chiusura
Cosa facciamo
- 01Ricognizione degli ingressi e delle API
- 02Verifica delle falle tipiche
- 03Chi vede cosa all'interno
- 04Cifratura dove i dati restano e dove viaggiano
- 05Elenco: cosa chiudere ora, cosa si può fare più tardi
Come procediamo
- 01Mappa degli ingressi
- 02Verifica
- 03Rapporto
- 04Chiusura di ciò che è critico
- 05Secondo sguardo
Su cosa
- OWASP
- TLS
- Registri di accesso
- Ruoli
Indicazione sui tempi
Il primo giro: una o due settimane. La chiusura dei rilievi: secondo la loro gravità.
In uscita
È chiaro quali falle sono chiuse, quali sono accettate come rischio e chi ne risponde.
Cosa di solito viene dopo
Il monitoraggio continuo degli attacchi e un controllo offensivo a parte, una volta a trimestre, sono già assistenza, non il primo giro.