Descrizione del progetto
TradottoStiamo preparando il lancio di un'applicazione web che elaborerà dati sensibili degli utenti e, prima di andare in produzione, abbiamo bisogno di una valutazione della sicurezza indipendente da uno specialista esterno. Non si tratta di un indurimento generale del server o di configurazione del firewall — abbiamo bisogno di un pentest mirato dell'applicazione stessa con copertura dell'intera lista OWASP Top 10: iniezioni, autenticazione e gestione delle sessioni compromesse, controllo degli accessi compromesso, scripting intersito, riferimenti diretti a oggetti non sicuri, configurazione di sicurezza errata, esposizione di dati sensibili e altre categorie. È importante per noi che il tester pensi come un vero attaccante e controlli l'applicazione come farebbe un avversario.
Il lavoro dovrebbe combinare test manuali e scanner, perché l'automazione da sola perde errori logici e difetti di autorizzazione. Forniremo un ambiente di test, due o tre account con diversi livelli di privilegio e una breve panoramica degli scenari principali. In cambio, ci aspettiamo un rapporto scritto chiaro: ogni scoperta è descritta con passaggi di riproduzione, livello di gravità (ad esempio, secondo CVSS), impatto reale e consigli pratici per la risoluzione con cui i nostri sviluppatori possono lavorare. Chiediamo di separare le vulnerabilità confermate dalle osservazioni a bassa fiducia in modo da poter dare la priorità correttamente.
Dopo aver affrontato le scoperte, avremo bisogno di un ritest: per confermare che ogni elemento sia effettivamente risolto e che non siano emersi nuovi problemi. La riservatezza è obbligatoria — tutto ciò che viene trovato rimane rigorosamente tra noi, i dati dei nostri sistemi non vengono copiati da nessuna parte. Si prega di descrivere la propria metodologia, gli standard seguiti e una tempistica stimata per l'audit, incluso il ritest.
Ciò che conta di più per noi:
— Copertura completa dell'OWASP Top 10, lavoro manuale più automazione
— Rapporto con livelli di gravità e raccomandazioni per la risoluzione
— Ritest obbligatorio per confermare le correzioni
Il lavoro dovrebbe combinare test manuali e scanner, perché l'automazione da sola perde errori logici e difetti di autorizzazione. Forniremo un ambiente di test, due o tre account con diversi livelli di privilegio e una breve panoramica degli scenari principali. In cambio, ci aspettiamo un rapporto scritto chiaro: ogni scoperta è descritta con passaggi di riproduzione, livello di gravità (ad esempio, secondo CVSS), impatto reale e consigli pratici per la risoluzione con cui i nostri sviluppatori possono lavorare. Chiediamo di separare le vulnerabilità confermate dalle osservazioni a bassa fiducia in modo da poter dare la priorità correttamente.
Dopo aver affrontato le scoperte, avremo bisogno di un ritest: per confermare che ogni elemento sia effettivamente risolto e che non siano emersi nuovi problemi. La riservatezza è obbligatoria — tutto ciò che viene trovato rimane rigorosamente tra noi, i dati dei nostri sistemi non vengono copiati da nessuna parte. Si prega di descrivere la propria metodologia, gli standard seguiti e una tempistica stimata per l'audit, incluso il ritest.
Ciò che conta di più per noi:
— Copertura completa dell'OWASP Top 10, lavoro manuale più automazione
— Rapporto con livelli di gravità e raccomandazioni per la risoluzione
— Ritest obbligatorio per confermare le correzioni
Programmazione web Contante, Bonifico bancario
