Molte applicazioni aziendali funzionano da anni e svolgono bene il loro lavoro, ma sono state progettate quando le minacce erano diverse. GDS aiuta le organizzazioni a scoprire le vulnerabilità dei propri sistemi e a metterli in sicurezza, senza dover ripartire da zero.
Sviluppiamo software da oltre vent'anni: conosciamo dall'interno come sono costruite le applicazioni, anche quelle basate su tecnologie non più supportate. Per questo possiamo intervenire non solo sulla rete e sui server, ma anche sul codice.
Verifica delle vulnerabilità
Vulnerability Assessment
Analisi di server, servizi esposti su Internet e reti interne per individuare configurazioni deboli, software non aggiornato e vulnerabilità note (CVE), con una valutazione della gravità secondo lo standard CVSS.
Penetration Test applicativo
Test delle applicazioni web e delle API secondo le metodologie OWASP (Top 10, ASVS, Web Security Testing Guide): autenticazione, gestione delle sessioni, controllo degli accessi, injection, esposizione di dati.
Revisione del codice
Analisi statica del codice sorgente (SAST) e verifica delle librerie e dei componenti di terze parti (SCA), con produzione della distinta dei componenti software (SBOM).
Revisione delle configurazioni
Verifica di sistemi operativi, web server, database e servizi cloud rispetto alle buone pratiche riconosciute (CIS Benchmark) e al principio del minimo privilegio.
Messa in sicurezza delle applicazioni esistenti
Quando un'applicazione non può essere sostituita, la rendiamo sicura. Gli interventi più frequenti:
- Aggiornamento di framework e librerie non più supportati o con vulnerabilità note, con test di non regressione;
- correzione del codice vulnerabile: SQL injection, cross-site scripting, controlli di accesso mancanti, gestione degli errori;
- protezione delle credenziali: password e chiavi tolte dai file di configurazione e dal codice sorgente, account dedicati con i soli privilegi necessari;
- comunicazioni cifrate (HTTPS con TLS 1.2/1.3, certificati a rinnovo automatico, intestazioni di sicurezza HTTP);
- autenticazione rafforzata: autenticazione a più fattori, SPID/CIE e OpenID Connect, blocco automatico dei tentativi di accesso ripetuti;
- protezione perimetrale: firewall con esposizione minima dei servizi, Web Application Firewall e virtual patching quando il codice non può essere modificato subito;
- migrazione su piattaforme supportate (sistemi operativi, database, runtime) e isolamento delle applicazioni tra loro.
Il nostro metodo
- Analisi: perimetro concordato, verifiche automatiche e manuali.
- Rapporto: vulnerabilità ordinate per gravità, con spiegazione tecnica, impatto e soluzione proposta; una sintesi per la direzione.
- Correzione: interveniamo direttamente o affianchiamo il vostro team.
- Verifica: nuovo test per confermare che le vulnerabilità siano state risolte.
- Monitoraggio continuo: controllo delle dipendenze nelle pipeline di sviluppo, raccolta e analisi dei log, avvisi sulle nuove vulnerabilità.
Strumenti
Usiamo strumenti riconosciuti a livello internazionale, open source e commerciali, scelti in base al contesto:
- Scansione delle vulnerabilità: Greenbone OpenVAS, Nessus, Nmap
- Test applicativi: OWASP ZAP, Burp Suite
- Analisi del codice: SonarQube, Semgrep, CodeQL
- Dipendenze e container: OWASP Dependency-Check, Trivy, SBOM CycloneDX
- Segreti nel codice: Gitleaks
- Monitoraggio e log: Wazuh, Microsoft Defender e Microsoft Sentinel
Normative e riferimenti
Le nostre attività supportano i clienti negli adempimenti previsti dalla Direttiva NIS2 (D.Lgs. 138/2024), dal GDPR per la sicurezza del trattamento dei dati personali e, nel settore finanziario, dal regolamento DORA, con riferimento ai framework ISO/IEC 27001 e NIST Cybersecurity Framework.
Richiedi una verifica di sicurezza