La difficoltà non è che uno scanner trovi qualcosa. È decidere se può esporre dati dei clienti, interrompere vendite o attendere la prossima manutenzione. Venti etichette rosse senza prove riproducibili creano lavoro senza aiutare la decisione.
Un audit esamina un obiettivo definito, da una posizione di rete e in un momento specifici. Sitelemetry combina moduli selezionati, risultati, prove e lista dei controlli. Leggili insieme: un’attività completata non significa che siano stati tentati tutti gli attacchi o esaminati tutti i percorsi degli account.
Ambito di questo audit
Cosa si può misurare
- In base ai moduli: DNS e politiche email, TLS, intestazioni HTTP, segnali tecnologici, esposizioni pubbliche e superficie API.
- Quando piano e profilo lo consentono: porte TCP selezionate, superficie di autenticazione, segnali della filiera software e motori aggiuntivi.
- Controlli riusciti supportati e osservazioni incomplete insieme ai risultati.
Cosa non dimostra
- Un’analisi esterna non dimostra la sicurezza di tutte le autorizzazioni, interfacce private o regole di business.
- Timeout, filtri, autenticazione e motori non disponibili riducono la copertura; non sono controlli superati.
- Un’impronta tecnologica o connessione aperta non dimostra da sola una vulnerabilità sfruttabile.
Verifica proprietà e autorizzazione prima della scansione. Piano, profilo, moduli scelti e disponibilità dei motori definiscono la copertura. Un audit completo non aggira queste condizioni; consulta l’ambito effettivo.
Parti dalle prove, non dal punteggio
Cerca host o URL, orario, modulo, risposta o prova di connessione, confidenza e correzione proposta. Un’intestazione assente in una risposta HTTP reale è diversa da una richiesta mai completata. Se TLS fallisce, le intestazioni non sono misurate: inventare cinque assenze esagererebbe il risultato.
Conserva il minimo utile nel ticket interno. Per un segreto esposto registra posizione e identificatore oscurato, senza copiare la credenziale. Una corrispondenza di versione è un indizio: confronta versione installata e avviso del fornitore prima di affermare una compromissione.
Aggiungi il contesto aziendale alla gravità
| Osservazione | Priorità pratica | Decisione successiva |
|---|---|---|
| Credenziale utilizzabile pubblicata | Urgente; potenzialmente critica secondo i permessi | Revocare o ruotare e indagare gli accessi |
| Certificato TLS scaduto o non attendibile | Alta | Ripristinare fiducia e verificare rinnovo |
| Politica del browser assente | Di solito media o bassa secondo il controllo | Verificare funzionamento prima di imporla |
| Tecnologia divulgata o framework identificato | Di solito bassa o informativa | Confermare pertinenza e aggiornamenti |
| Porta 443 raggiungibile | Servizio previsto | Valutare TLS e applicazione |
Sono esempi di priorità, non sostituti delle prove. Accesso clienti e file pubblico hanno contesti diversi. La confidenza descrive certezza dell’osservazione; la gravità, conseguenza potenziale. Nessuna dimostra uno sfruttamento già avvenuto.
Interpreta porte e avvisi informativi
Un sito HTTPS pubblico deve accettare HTTPS. La porta 443 aperta non è da sola una vulnerabilità. Anche la 80 può essere appropriata se reindirizza a HTTPS: verifica il comportamento. Amministrazione, database e trasferimenti legacy richiedono responsabile e ragione per l’esposizione. Una connessione TCP prova raggiungibilità, non accesso anonimo o versione software.
Unisci l’intervento se osservazione generica della porta e risultato specifico descrivono la stessa esposizione. Un timeout non prova una porta chiusa. L’avviso Modern Web Application di ZAP è informativo: suggerisce una strategia di esplorazione, non una patch di sicurezza.
Correggi la causa mantenendo il traffico legittimo
- Contieni l’esposizione confermata. Rimuovi accessi involontari, ruota credenziali e consulta i log. Eliminare un file non revoca una chiave divulgata.
- Intervieni sul livello responsabile. TLS può terminare nella CDN, le intestazioni arrivare dal proxy e i servizi da altri host.
- Introduci politiche per fasi. Prova report CSP, reindirizzamenti di accesso, pagamento incorporato e integrazioni prima dei vincoli.
- Riduci accessi inutili. Limita l’amministrazione alle reti necessarie e conserva un recupero verificato.
Assegna responsabile, scadenza e prova di accettazione. Non spegnere tutti i servizi per aumentare il punteggio: punta a una superficie minore e giustificata con percorsi cliente funzionanti.
Rendi il nuovo test confrontabile
Ripeti con lo stesso host, schema, profilo e moduli. Conserva entrambi i rapporti e la modifica. Con DNS, CDN o cache verifica che sia stato raggiunto il servizio aggiornato. Un punteggio migliore dopo aver disattivato un modulo non prova una correzione.
- Conferma che la prova originale non si riproduca più.
- Testa accesso, registrazione, pagamento e contenuti incorporati interessati.
- Rivedi moduli saltati, falliti o parziali e disponibilità dei motori.
- Chiudi con la nuova osservazione e conserva separatamente i limiti irrisolti.
Riconosci quando servono test umani
Isolamento tra account, aumento dei privilegi nei processi e autorizzazione tra utenti richiedono spesso casi autenticati mirati. Trovare un’interfaccia di login non convalida le sue regole. Pianifica verifiche autorizzate con la guida OWASP ai test e controlli browser con le indicazioni sulle intestazioni.
Crea una base prima dei rilasci importanti e ripeti dopo cambiamenti di infrastruttura, autenticazione o dipendenze. L’automazione supporta la manutenzione; non rilascia certificazioni, garantisce assenza di attacchi né sostituisce un penetration test con ambito definito.
Domande frequenti
Un punteggio alto significa che il sito è sicuro?
Riflette i controlli misurati nell’ambito dichiarato. Verifica prove, moduli omessi e percorsi account non testati prima di fare affermazioni più ampie.
Ogni risultato informativo richiede correzione?
No. Conserva l’inventario utile e apri interventi quando esiste una debolezza pertinente o esigenza operativa. La normale disponibilità HTTPS non è un difetto.
Posso eseguire l’audit tramite MCP?
Gli strumenti supportati usano piano e permessi dell’account. Controlla ambito e completamento: lo strumento disponibile non implica che ogni modulo o motore esterno sia stato eseguito.
Fonti e approfondimenti
- OWASP: guida ai test di sicurezza webowasp.org
- ZAP: avviso informativo Modern Web Applicationwww.zaproxy.org
- OWASP: indicazioni sulle intestazioni HTTPcheatsheetseries.owasp.org
Preparato dal team Sitelemetry e verificato rispetto all’ambito del prodotto e alle fonti primarie citate. Gli esempi sono illustrativi, salvo quando è indicato un caso osservato.
