Vulnerability Assessment delle web application
Siti e applicazioni web analizzati con più strumenti, dalle vulnerabilità del codice ai cookie. Dall'esterno, senza installare nulla.
Il sito è esposto a tutti, e spesso non lo segue nessuno
Il sito aziendale, il portale clienti, il gestionale online: sono spesso le uniche cose dell'azienda raggiungibili da chiunque, e insieme quelle di cui nessuno si occupa più dopo il collaudo. La loro natura sempre accessibile le rende una delle porte d'accesso preferite dai criminali informatici, con un danno che non riguarda solo i dati ma anche la reputazione.
E il rischio non è solo nelle versioni non aggiornate. Le applicazioni sviluppate su misura possono avere vulnerabilità intrinseche al codice, che nessun aggiornamento del fornitore risolverà mai da solo.
La scansione delle web application è uno dei sei controlli del Vulnerability Assessment e combina più strumenti, perché nessuno da solo vede tutto.
Cosa serve predisporre. Niente da installare: la scansione parte dai sistemi di Dottor Box su Internet. Basta censire i siti e le applicazioni nella Superficie di Attacco. Gli indirizzi su cui girano i siti si controllano con la scansione della rete esterna.
Cosa ottieni
Più scanner, un referto
Vulnerabilità generiche, controlli specifici per WordPress e Joomla, header di sicurezza, presenza di un WAF.
Il lato GDPR del sito
Analisi dei cookie e verifica in pagina di informativa privacy e partita IVA, non solo il lato tecnico.
Anteprima del sito
Uno screenshot di ogni sito, per riconoscere a colpo d'occhio cosa stai guardando.
Falsi positivi una volta sola
Un rilievo scartato non ritorna nelle scansioni successive.
Oltre 6.500 controlli sulle applicazioni web
L'archivio dei controlli è in continuo aggiornamento. Queste sono le categorie dichiarate nel capitolato di servizio.
- Servizi esposti e analisi delle risposte HTTP e HTTPS
- Riconoscimento di piattaforme e versioni (fingerprinting)
- Vulnerabilità dei CMS più diffusi
- SQL injection nelle query dell'applicazione
- Verifiche specifiche su server web come IIS e Apache
- Esplorazione dei record DNS
- Credenziali predefinite mai cambiate
- File di configurazione esposti con accessi o token
- Directory listing che mostrano file riservati
- Fuzzing sugli input e scenari di navigazione automatizzati
- Pannelli di amministrazione esposti
- Vulnerabilità censite nel catalogo CVE
- Configurazioni errate e takeover di servizi e piattaforme
- Token API statici ed endpoint API
Dalla scansione al dettaglio di ogni sito
Censisci i siti
Indichi gli indirizzi di siti e applicazioni da controllare.
Partono gli strumenti
Ogni strumento esegue i suoi controlli e il risultato viene ricondotto a un unico referto, con severità CVSS e descrizioni in italiano.
Leggi i risultati
Vedi i siti con l'anteprima, i grafici per fascia di criticità, l'avanzamento e il dettaglio dei rilievi sito per sito.
Ricevi le novità
A ogni giro confrontiamo con la scansione precedente e ti avvisiamo per email di quello che è nuovo.
La cadenza è configurabile, con il livello di servizio contrattuale come minimo garantito, e puoi sempre avviare una scansione subito, per esempio dopo il rilascio di una nuova versione del sito.
I falsi positivi non tornano
Uno scanner automatico sbaglia, e sui siti web sbaglia spesso. La differenza la fa cosa succede dopo. In Dottor Box un amministratore può scartare un rilievo riconosciuto come falso positivo: da quel momento non rientra nelle scansioni successive, né nella vista corrente né nell'archivio.
Così il referto resta credibile e non devi rileggere a ogni giro gli stessi falsi allarmi. In più, le scansioni sono integrate da verifiche manuali di personale qualificato.
Vulnerability assessment o penetration test?
Il vulnerability assessment identifica le possibili vulnerabilità. Il penetration test simula attacchi etici per verificare quanto l'applicazione regge davvero. Per i siti più critici, o per le applicazioni sviluppate su misura, il report Dottor Box raccomanda di procedere anche con un Web Application Penetration Test.
A quali norme contribuisce
Le applicazioni web trattano spesso dati personali: la loro verifica periodica è una misura tecnica documentabile.
Spesso attivati insieme
Vulnerability Assessment
Sei controlli dall'interno e dall'esterno, con severità CVSS, storico e avvisi sulle novità.
Scopri di più VedereRete esterna
Il perimetro visto da Internet: porte, servizi esposti e blacklist, senza installare nulla.
Scopri di più DimostrareConsulenza specialistica
Uno specialista di Dottor Marc su appuntamento, prenotato direttamente dalla dashboard.
Scopri di piùSai cosa vede della tua azienda chi cerca un bersaglio?
In una dimostrazione sui tuoi sistemi reali ti mostriamo cosa è esposto, quanto pesa e da dove conviene partire. Poi, se ti serve, una proposta su misura.