Cos'è un'analisi di sicurezza delle applicazioni?
È una revisione approfondita del tuo software alla ricerca di debolezze di sicurezza: codice non sicuro, dipendenze vulnerabili, falle di autenticazione e accesso, punti di injection ed esposizione delle API. Ottieni un report valutato per rischio con esempi di proof of concept e correzioni chiare.
Qual è la differenza tra SAST e DAST?
Il SAST (analisi statica) esamina il tuo codice sorgente senza eseguirlo; il DAST (analisi dinamica) testa l'applicazione in esecuzione per individuare problemi che compaiono solo a runtime. Usiamo entrambi, più la revisione manuale, perché ciascun metodo trova problemi che gli altri trascurano.
Segnalate solo i problemi o potete risolverli?
Entrambe le opzioni esistono. Il livello analisi consegna il report; il livello completo significa che risolviamo le vulnerabilità, miglioriamo l'architettura di sicurezza, mettiamo in sicurezza la configurazione, aggiungiamo test di sicurezza alla tua CI/CD e riverifichiamo poi.
È un penetration test?
Si sovrappone ma va più a fondo. Un penetration test si concentra sullo sfruttamento dell'app in esecuzione dall'esterno; noi esaminiamo anche codice sorgente, dipendenze e progettazione dall'interno, il che individua cause profonde che un test black-box da solo non coglierebbe. Possiamo consigliarti se serve anche un penetration test formale.
Controllate le nostre librerie e dipendenze di terze parti?
Sì. Il rischio della supply chain è una delle principali fonti di violazioni, perciò controlliamo le tue librerie e i pacchetti di terze parti per vulnerabilità note e componenti rischiosi o abbandonati, e consigliamo aggiornamenti sicuri.
Quali piattaforme e linguaggi coprite?
Valutiamo applicazioni su Windows, Linux e macOS, e un'ampia gamma di linguaggi e framework, inclusi web, desktop, server e back-end di API. Indicaci il tuo stack e confermeremo l'idoneità prima di iniziare.
I test disturberanno la nostra applicazione in produzione o gli utenti?
L'analisi statica è del tutto non disruptiva. Per i test dinamici preferiamo un ambiente di staging, e se dobbiamo testare in produzione concordiamo prima con te l'approccio e i tempi per evitare impatti sugli utenti.
Come mantenete riservati il nostro codice e i nostri dati?
Lavoriamo tramite accesso sicuro a privilegio minimo, gestiamo con cura il tuo codice e le credenziali e possiamo firmare un NDA prima di qualsiasi condivisione. I risultati ti vengono consegnati in privato e mai divulgati altrove.
Quanto tempo richiede?
Dipende dalle dimensioni e dalla complessità dell'applicazione. Dopo una prima conversazione di scoping ti diamo una tempistica chiara, con la remediation pianificata separatamente in base ai risultati.
Potete integrare i test di sicurezza nella nostra pipeline?
Sì. Nell'ambito del livello completo possiamo integrare SAST, scansione delle dipendenze e altri controlli nella tua pipeline CI/CD, così il nuovo codice viene testato automaticamente e i problemi vengono individuati prima del rilascio.
Riceveremo qualcosa da mostrare a revisori o clienti?
Sì. Il report documenta cosa è stato testato, le valutazioni di rischio, il proof of concept e la remediation, utile come prova per questionari di sicurezza, due diligence e i tuoi stessi clienti.
Come funziona la richiesta di preventivo?
Raccontaci della tua applicazione e scegli l'opzione adatta. Lo esaminiamo e ti inviamo un preventivo su misura a perimetro fisso, di solito entro un giorno lavorativo. È gratuito e senza impegno.