Pochi elementi, e partiamo.
Per avviare un penetration test ci servono poche informazioni essenziali. Qui trovi cosa preparare — quello che vale sempre e cosa cambia a seconda del tipo di test.
I sei elementi di base.
Perimetro
Applicazioni, domini/URL ed endpoint API da includere — ed esplicitamente cosa resta fuori scope.
Ambiente
Preferibilmente staging/collaudo, per non impattare la produzione. Se serve la produzione, lo concordiamo con controlli specifici.
Credenziali di test
Almeno un'utenza con tutte le funzioni; ideale due su tenant/profili distinti, per provare la segregazione dei dati.
Finestre temporali
I giorni e gli orari in cui operare, e le eventuali fasce da evitare.
Referente tecnico
Un vostro contatto a cui segnalare tempestivamente findings critici o anomalie.
Autorizzazione scritta
Le attività partono solo con autorizzazione formale e regole d'ingaggio concordate.
Cosa serve, in base a cosa testiamo.
Seleziona il tipo di penetration test per vedere cosa ci occorre, oltre ai sei elementi di base.
Applicazioni web & SaaS
Portali, web app, SPA, piattaforme multi-tenant.
- URL dell'applicazione e domini in scope (frontend)
- 1 utenza di test con tutte le funzioni — ideale 2 utenze su 2 tenant/profili distinti
- Elenco dei ruoli applicativi e flussi/funzioni particolari da coprire
- Ambiente di staging/collaudo
API & servizi backend
REST, GraphQL.
- Documentazione (OpenAPI/Swagger o collection Postman) o elenco endpoint
- Credenziali/token di test e meccanismo di auth (JWT/OAuth)
- Base URL e ambiente
- Eventuali rate limit o whitelisting da considerare
App mobile
Android e/o iOS, lato client e backend.
- APK/IPA (o accesso allo store) — entrambe le piattaforme se previste
- Account di test
- Backend di riferimento (host/ambiente), se diverso dal portale
- OS/dispositivi target
Infrastruttura esterna (perimetro)
Asset esposti su Internet.
- Elenco di IP/range, domini e asset in scope — e cosa è fuori
- Eventuale whitelisting dell'IP sorgente del test
- Finestre operative e referente per eventuali allarmi
Infrastruttura interna & Active Directory
Scenario assumed breach.
- Accesso alla rete: VPN, postazione fornita o avvio «assumed breach» da una macchina interna
- Un account utente standard di dominio (senza privilegi)
- Segmenti in scope ed eventuale device/immagine
- Finestre e referente per l'escalation
Sicurezza AI / LLM
Chatbot, RAG, agenti.
- Accesso all'applicazione AI/chatbot e account di test
- Descrizione delle integrazioni (knowledge base, tool/funzioni, tenant)
- Ambiente di staging, se disponibile
- Eventuali limiti d'uso/costi da rispettare
Hai (quasi) tutto. Partiamo.
Non serve avere tutto pronto: raccontaci cosa devi proteggere e completiamo insieme il quadro.
Compila il modulo: ti rispondiamo entro 24 ore lavorative. Nessun impegno.
Oppure scrivicicommerciale@pentropic.it