Pentest realizzato da Netitude per World Delete

Il pentest realizzato da Netitude per World Delete fornisce una valutazione approfondita che individua i rischi tecnici attuali, critici e prioritari.
Questo report presenta conclusioni verificate che guidano le decisioni strategiche attraverso un'analisi chiara e la rigorosa metodologia applicata di recente.

La documentazione risultante facilita la comprensione delle vulnerabilità rilevate e stabilisce priorità correttive basate su prove solide.
World Delete ottiene informazioni preziose che promuovono miglioramenti continui, rafforzando la sicurezza organizzativa attraverso i processi valutati durante l'audit.

Riepilogo generale del pentest realizzato da Netitude per World Delete

Il pentest realizzato da Netitude per World Delete aveva come finalità valutare la sicurezza della nostra applicazione web World Delete App. Questo audit si è svolto nel gennaio 2023 nell'arco di quattro giorni consecutivi ed è stato eseguito nell'ambito del nostro impegno permanente per la protezione dei dati, la prevenzione degli incidenti e il miglioramento continuo dei nostri sistemi interni.

Durante la valutazione sono state individuate vulnerabilità di diverse categorie, tra cui difetti nei controlli di accesso, debolezze nei meccanismi di autenticazione e rischi associati alla funzionalità di caricamento dei file. Questi riscontri rappresentavano minacce per la riservatezza dei dati degli utenti, l'integrità della piattaforma e la stabilità generale dei nostri servizi.

Netitude ha concluso che esistevano aree critiche che richiedevano attenzione immediata. Il team ha consegnato un report tecnico dettagliato con raccomandazioni specifiche per ogni vulnerabilità rilevata. Grazie a queste informazioni, abbiamo potuto dare priorità alle azioni correttive in base al loro livello di impatto e urgenza.

Oltre a rafforzare la nostra infrastruttura, questo audit ha riaffermato il nostro approccio preventivo in materia di cybersicurezza. La valutazione esterna ha convalidato la nostra volontà di trasparenza e la nostra responsabilità nella corretta gestione dei dati affidati dai nostri utenti.

Le motivazioni di World Delete per sottoporsi a un pentest

La decisione di realizzare un pentest è nata dalla necessità di garantire che la nostra applicazione rispettasse gli standard di sicurezza più rigorosi. Sapevamo che, trattando informazioni sensibili come dati personali e richieste di rimozione, era fondamentale operare con un'infrastruttura robusta, affidabile e allineata alle buone pratiche internazionali.

Prima di affrontare qualsiasi incidente reale, volevamo individuare le debolezze che un aggressore avrebbe potuto tentare di sfruttare. Questa valutazione preventiva ci ha permesso di anticipare i rischi, rafforzare i componenti essenziali e ridurre in modo significativo la possibilità di accessi non autorizzati o fughe di informazioni.

Abbiamo inoltre cercato di convalidare le nostre pratiche di sicurezza esistenti. Disporre di un fornitore esterno come Netitude ci ha permesso di ottenere una valutazione obiettiva e professionale, basata su metodologie riconosciute e criteri tecnici aggiornati. Questo ci ha aiutato a correggere le debolezze, ma anche a confermare quali pratiche interne funzionavano già correttamente.

Infine, abbiamo ritenuto importante dimostrare ai nostri utenti più esigenti che la sicurezza non è un concetto astratto, ma un impegno tangibile sostenuto da azioni concrete. Il pentest è stato una decisione chiave per rafforzare la fiducia e la credibilità della piattaforma.

Ambiente tecnico valutato durante il pentest realizzato da Netitude

L'analisi si è concentrata sul nostro ambiente di applicazione web, uno dei pilastri della nostra operatività digitale. Netitude ha eseguito i test dall'esterno, senza accesso privilegiato preventivo, simulando il comportamento di un aggressore reale che tenta di scoprire vulnerabilità senza credenziali valide.

Il team ha valutato i nostri meccanismi di autenticazione, il controllo di accesso, il caricamento dei file, la gestione delle sessioni e l'interazione tra i profili degli utenti. Questa revisione esaustiva ha permesso di individuare incongruenze nell'assegnazione delle autorizzazioni e di rilevare percorsi che potevano essere sfruttati senza una corretta convalida.

Le informazioni raccolte durante questa fase sono state fondamentali per comprendere quali fossero i punti più sensibili del sistema. A partire da questi risultati, abbiamo definito un piano tecnico chiaro per correggere le debolezze rilevate e migliorare i livelli di protezione della piattaforma.

Principali vulnerabilità individuate e loro criticità

L'audit ha individuato tredici vulnerabilità classificate in quattro critiche, tre alte e sei medie. Questa classificazione ha facilitato la definizione delle priorità delle azioni correttive.

I difetti più gravi erano legati ai controlli di accesso. Due endpoint permettevano di visualizzare informazioni sensibili senza autenticazione, comprese password cifrate, calendari e fotografie. Questa esposizione rappresentava un rischio significativo per la privacy e la sicurezza degli utenti.

Sono stati inoltre rilevati problemi nel caricamento dei file, che consentiva di caricare formati non necessari e potenzialmente pericolosi. In combinazione con altre vulnerabilità, questa falla poteva essere utilizzata per eseguire attacchi mirati o distribuire contenuti dannosi.

Le debolezze nell'autenticazione includevano politiche di password insufficienti e l'assenza di meccanismi di blocco dopo tentativi falliti. Sebbene alcuni ruoli disponessero di autenticazione a più fattori, è stato individuato un margine di miglioramento nella protezione generale degli account.

Impatto del pentest realizzato sui controlli di accesso

Uno dei riscontri di maggiore rilevanza è stato l'esposizione di informazioni private tramite endpoint privi di protezione. Questo ha rivelato la necessità di rivedere tutta la logica delle autorizzazioni, sia nell'interfaccia utente sia nelle nostre API interne.

In risposta, abbiamo riprogettato i flussi di convalida, applicato restrizioni più rigorose e chiuso i percorsi che potevano essere interrogati senza autenticazione. Questi miglioramenti hanno ridotto in modo significativo il rischio di accessi indebiti.

Valutazione del caricamento dei file e rischi rilevati durante il pentest

Netitude ha individuato che la piattaforma permetteva di caricare tipi di file che non erano essenziali e che potevano rappresentare un rischio. Questo aumentava la possibilità di attacchi tramite file eseguibili o contenuti dannosi.

Abbiamo reagito limitando rigorosamente i formati consentiti e applicando filtri aggiuntivi. Questi miglioramenti hanno evitato possibili tentativi di sfruttamento e hanno rafforzato un componente cruciale dell'applicazione.

Riscontri su autenticazione e sessioni dopo il pentest realizzato da Netitude

L'analisi ha rivelato carenze nella gestione delle password, l'assenza di limiti sui tentativi falliti e sessioni prolungate senza un'adeguata scadenza. Questi fattori potevano facilitare accessi non autorizzati.

Abbiamo implementato politiche più rigorose, rafforzato le password, aggiunto blocchi automatici ed esteso l'autenticazione a più fattori ai ruoli pertinenti. Questi miglioramenti hanno elevato notevolmente il livello di sicurezza.

Raccomandazioni tecniche derivate

Tra le principali raccomandazioni sono state incluse:

• Rivedere e rafforzare i controlli di accesso.

• Limitare e proteggere rigorosamente il caricamento dei file.

• Rafforzare le politiche di autenticazione e di sessione.

Tutte queste azioni sono state integrate in un piano di remediation in fase di esecuzione.

Passi successivi dopo il pentest realizzato da Netitude

I consulenti hanno raccomandato di realizzare un debrief tecnico, verificare la corretta applicazione dei controlli di accesso, mettere in sicurezza il caricamento dei file e programmare un retest finale per convalidare le correzioni.

Processo di certificazione mediante il pentest

Il pentest realizzato da Netitude ha rappresentato un progresso significativo nella nostra maturità in materia di sicurezza. I suoi riscontri ci hanno permesso di correggere debolezze, migliorare processi e accrescere la fiducia dei nostri utenti. Continueremo a effettuare valutazioni periodiche per mantenere una piattaforma sicura, robusta e allineata alle migliori pratiche del settore.