Una frazione di un incarico esterno
Nessuna trasferta, nessuna settimana-uomo da prenotare, nessun costo marginale per ripetere la verifica il mese dopo.
ONIX conduce verifiche di sicurezza offensive sulla tua infrastruttura seguendo una metodologia professionale completa, e consegna un report che distingue quello che ha provato da quello che ha solo supposto. Lavora entro i limiti che hai autorizzato e si ferma da solo quando li raggiunge.
Il problema
Un penetration test tradizionale costa decine di migliaia di euro, si prenota con mesi di anticipo e fotografa una sola settimana dell'anno. Nei dodici mesi successivi l'infrastruttura cambia, i servizi si aggiornano, qualcuno espone una porta — e il report resta fermo a com'erano le cose a gennaio.
Nessuna trasferta, nessuna settimana-uomo da prenotare, nessun costo marginale per ripetere la verifica il mese dopo.
Dall'autorizzazione firmata al primo risultato passano ore, non trimestri. Le verifiche ricorrenti si programmano e girano di notte.
L'enumerazione completa di un perimetro è un lavoro ripetitivo che una persona abbrevia e una macchina no.
Dopo le correzioni la stessa verifica si ripete e dice quali vulnerabilità sono davvero chiuse. È la parte che negli incarichi tradizionali si paga a parte.
Come si svolge
ONIX non lancia uno scanner e stampa l'output. Segue le fasi di un penetration test condotto da un team, e la fase successiva si apre solo quando la precedente è chiusa.
Il controllo
La domanda che ogni responsabile IT fa per prima è cosa impedisce a un sistema del genere di combinare un guaio in produzione. La risposta non è una raccomandazione scritta nelle istruzioni: i limiti sono applicati dalla piattaforma, prima che un comando parta.
Solo dentro il perimetro autorizzato. Un comando diretto a un indirizzo fuori dal perimetro non viene eseguito. Il perimetro è quello che hai dichiarato, e un perimetro vuoto blocca tutto invece di aprire tutto.
Niente di distruttivo, mai. Cancellazioni, riformattazioni e modifiche ai sistemi non sono nel repertorio. Un test è autorizzato a guardare.
Niente che possa causare un disservizio. Le tecniche che saturano un servizio sono escluse: un'interruzione non è un risultato, è un danno.
Niente attacchi alle password senza il tuo consenso esplicito. Una policy di blocco account scatta dopo pochi tentativi, quindi provare password contro utenze reali significa lasciare a piedi delle persone. Succede solo se lo hai autorizzato per iscritto, e nei limiti che hai indicato.
Solo nella finestra concordata. Date, fascia oraria e fuso orario sono parte dell'autorizzazione. Un'attività in corso si ferma al bordo della finestra e riprende da sola quando riapre.
Tutto tracciato. Ogni comando eseguito, ogni comando rifiutato e il motivo del rifiuto restano a registro. Se i tuoi analisti vedono attività anomala, possono ricondurla al test invece di aprire un incidente.
Il risultato
La differenza fra un risultato utile e una lista di allarmi è la prudenza nel dire cosa si sa davvero. ONIX distingue sempre le due cose.
Vulnerabilità verificate in pratica, con la prova di come sono state sfruttate, l'impatto concreto sull'azienda e il percorso rifatto passo per passo da chi dovrà correggerle.
Corrispondenze di versione e indizi non verificati, dichiarati per quello che sono. Una versione può risultare vulnerabile ed essere già corretta: segnalarla come certa fa perdere giornate di lavoro al tuo team.
Gravità tecnica, probabilità che qualcuno la sfrutti davvero e presenza nelle liste di vulnerabilità già usate in attacchi reali.
Sintesi direzionale con l'esposizione in termini di business, e dettaglio tecnico riproducibile per chi applica la correzione.
Metodologia, perimetro, autorizzazione e registro delle attività documentati, nella forma che un auditor si aspetta di trovare.
Il retest produce un documento che dice, finding per finding, cosa è chiuso e cosa è ancora aperto.
Dove guarda
Lo stesso sistema visto da fuori e visto da dentro racconta due storie, e metterle a confronto è il modo più rapido per capire quanto il perimetro stia reggendo.
Dalla tua rete: cosa raggiunge un dipendente, un fornitore collegato in VPN o un dispositivo compromesso da una email. È la prospettiva che la maggior parte degli incidenti reali segue.
Dall'esterno, come chiunque su internet: cosa espone davvero il perimetro. Richiede un'autorizzazione specifica, perché una firma per una verifica interna non copre il sondaggio del perimetro dall'esterno.
Dove gira
ONIX si installa sulle tue macchine e lavora in ambienti isolati creati per l'occasione. Le vulnerabilità trovate, le credenziali raccolte e i report restano nel tuo perimetro: sono esattamente le informazioni che un'azienda non può permettersi di tenere sul server di qualcun altro.
Gli strumenti girano in contenitori isolati, creati all'avvio e rimossi alla fine. Niente viene installato sui tuoi sistemi di produzione.
Il servizio di supporto può accompagnare un incarico, ma i contenuti non vengono archiviati da noi. Delle attività conserviamo la forma, mai la sostanza.
Le credenziali che un incarico richiede sono cifrate nel database e rimosse dai registri e dalle trascrizioni prima che vengano salvati.
Al termine dell'incarico si applica la politica di conservazione concordata, e quello che deve sparire sparisce.
A chi serve
Parliamone
Il modo più rapido per valutarlo è vederlo lavorare su un ambiente che controllate voi. L'avvio richiede un server, l'elenco dei sistemi da includere e un'autorizzazione firmata.
Raccontaci che cosa vorresti verificare e in quanto tempo. Rispondiamo con una proposta di perimetro, la durata di un primo incarico e un preventivo.
sales@onix.security