business
information security assessment
Lo scopo dei Servizi di Assessment (Analysis and Evaluation) è quello di individuare eventuali criticità e vulnerabilità relative alle ICT (Information and Communication Tecnology).I Servizi di Assessment sono di diversa natura. Le attività di analisi e valutazione sono svolte a campione relativamente all'ambito / perimetro predefinito dell'attività di assessment stessa.
I Servizi di Assessment prevedono un report relativo all'attività svolta, ai risultati e alle conclusioni raggiunti.
I Servizi di Assessment sono strutturati sulla base di "Best Practices" e "Guide Lines" di riferimento: OWASP (Open Web Application Security Project), OSSTMM (Open Source Security Testing Methodology Manual).
[ architecture & operation assessment ]
- Architettura di Rete Locale (LAN), Geografica (WAN), e dei collegamenti verso Internet
- Architettura e Configurazione dei Servizi Internet, dei Servizi di Rete (LAN, WAN), dei Servizi a livello Applicativo
- Verifica del Sistema Operativo (O.S.), dei Servizi di Rete, e dei Software di Base (versione, configurazione, personalizzazione)
- Verifica della presenza di Worm, Virus, Spyware, KeyLogger, Dialer, ecc.
- Analisi dei File di Log
- Analisi del traffico di rete TCP/IP
[ ethical hacking ]
- “Footprinting”, “Resource Enumeration”, “User Enumeration” (ricerca di informazioni relative all'infrastruttura, agli utenti e all'Organizzazione stessa)
- “Port Scanning” (ricerca delle porte di accesso a livello applicativo TCP)
- ACL (Access Control List) Check (verifica del controllo degli accessi a livello di rete IP e applicativo TCP)
- “Vulnerability Research, Analysis, and Check” (ricerca, analisi e verifica di eventuali vulnerabilità, a esclusione di Denial of Service che possono causare disservizi)
- “Password Cracking” (verifica della robustezza e/o del rispetto della politica di definizione delle password relativamente ai servizi e/o applicativi accessibili dall’esterno)
[ web application security testing ]
- Information Gathering (ricerca di informazioni relative all'applicazione, DBMS, run-time environment)
- Configuration Management
- Business Logic Testing
- Authentication
- Authorization
- Session Management (Bypassing Session Management Schema, Cookies, Session Fixation and Variables)
- Data Validation (XSS, Code Injection, Buffer Overflow)
- Denial Of Service
- Web Services (XML, HTTP GET Parameters/REST, Replay Testing)
- Languages Vulnerability