Il nostro metodo

Il principio

Sulle aziende che non sono nostre clienti svolgiamo solo analisi passive: leggiamo ciò che i loro sistemi mostrano a chiunque e ciò che è già raccolto da fonti pubbliche. Non entriamo, non proviamo password, non mandiamo richieste costruite per far reagire i sistemi. I test attivi (penetration test) si fanno solo con un'autorizzazione scritta e firmata da chi può disporre dei sistemi.

Cosa facciamo sulle aziende non clienti

• Lettura dei record DNS pubblici (A, AAAA, MX, NS, TXT, CAA) e della protezione della posta del dominio (SPF, DMARC, DKIM sui selettori noti).
• Consultazione dei registri pubblici: Certificate Transparency, WHOIS/RDAP, registro delle imprese.
• Verifica della configurazione TLS (versioni, cifrari, scadenza e catena del certificato, HSTS), con un numero contenuto di connessioni, come fa un browser.
• Lettura delle intestazioni HTTP di sicurezza delle pagine pubbliche, con visite normali.
• Riconoscimento delle tecnologie e delle versioni dichiarate nel contenuto pubblico (generatore del CMS, librerie servite, intestazioni già esposte).
• Lettura di robots.txt, security.txt, sitemap e pagine collegate. Non visitiamo i percorsi elencati in robots.txt che non sono collegati dal sito.
• Consultazione di dati già raccolti da motori di terzi (motori di ricerca, indici di servizi esposti) nel rispetto delle loro condizioni d'uso.
• Reputazione del dominio nelle liste pubbliche e domini simili registrati da altri.
• Presenza del dominio in violazioni di dati già note, solo a livello di metadati (nome della violazione, data, tipi di dato) da servizi leciti. Mai password, mai archivi scaricati.
• Segnalazione di segreti pubblicati per errore in repository pubblici: diciamo che esistono, non proviamo mai se funzionano.

Cosa non facciamo mai senza autorizzazione scritta

• Scansioni delle porte o raccolta attiva di banner sui servizi.
• Ricerca di file e cartelle non collegati (per esempio pannelli di amministrazione, backup, file di configurazione).
• Scanner di vulnerabilità che inviano richieste costruite apposta.
• Tentativi di accesso, anche con password di fabbrica o trapelate.
• Sfruttamento di vulnerabilità, aggiramento dell'autenticazione, caricamento di file.
• Test di carico, sovraccarico o qualsiasi prova che possa rallentare o fermare un servizio.
• Intercettazione del traffico, attacchi a reti Wi-Fi.
• Phishing simulato o altre forme di ingegneria sociale verso i dipendenti.
• Acquisto o download di dati rubati, consultazione di mercati illegali.

Se durante un'analisi passiva notiamo un sistema esposto senza protezione (per esempio un database aperto), ci fermiamo: non scarichiamo nulla e non conserviamo dati. Registriamo solo il fatto e lo segnaliamo gratuitamente all'azienda, senza offerte commerciali e senza condizioni.

Come riconoscere le nostre analisi

Le richieste delle nostre analisi passive si presentano sempre con questo User-Agent:

DifesaLab-PassiveCheck/1.0 (+https://[DOMINIO]/metodo)

e partono solo da questi indirizzi IP di uscita: [IP USCITA]. Teniamo un registro di cosa abbiamo fatto, quando e da quale indirizzo.

Come assegniamo la gravità

Ogni rilievo riporta la fonte da cui proviene, il metodo con cui è stato osservato e una gravità (critica, alta, media, bassa, informativa) calcolata con [METRICA, es. CVSS 4.0 adattato]. L'anteprima gratuita è generata dai rilievi registrati: non contiene numeri scritti a mano.

Come calcoliamo il punteggio di rischio

Il punteggio dell'anteprima va da 0 a 100 e si calcola solo dalla gravità dei rilievi, con una regola fissa uguale per tutti. Si parte da un margine di 100 punti; ogni rilievo ne consuma una quota, in proporzione a quello che resta:

Il punteggio è 100 meno il margine rimasto. Esempio: con un rilievo di gravità alta e due di gravità media il punteggio è 39 (rischio moderato). Un rilievo in più non abbassa mai il punteggio, e i rilievi solo informativi non lo alzano. Le fasce sono queste:

Il punteggio misura quanti e quanto gravi sono i problemi trovati, non la probabilità di subire un attacco né il danno che ne verrebbe: dipendono anche da fattori che dall'esterno non vediamo.

Non volete essere analizzati o contattati?

Scriveteci a [EMAIL] indicando il dominio. Lo inseriamo nella lista di esclusione: non faremo più analisi né contatti. Non serve dare motivazioni. Lo stesso vale per il link “Non sono interessato” presente in ogni nostra comunicazione.

Segnalare una vulnerabilità di DifesaLab

Se trovate un problema di sicurezza nei nostri sistemi, scriveteci: i contatti sono in security.txt. Vedi anche l'Informativa privacy.