Lo scopo dei Servizi di Assessment (Analysis and Evaluation) è quello di individuare eventuali criticità e vulnerabilità relative alle ICT (Information and Communication Tecnology).I Servizi di Assessment sono di diversa natura. Le attività di analisi e valutazione sono svolte a campione relativamente all'ambito / perimetro predefinito dell'attività di assessment stessa.
I Servizi di Assessment prevedono un report relativo all'attività svolta, ai risultati e alle conclusioni raggiunti.
I Servizi di Assessment sono strutturati sulla base di "Best Practices" e "Guide Lines" di riferimento: OWASP (Open Web Application Security Project), OSSTMM (Open Source Security Testing Methodology Manual).
[ architecture & operation assessment ]
- Architettura di Rete Locale (LAN), Geografica (WAN), e dei collegamenti verso Internet.
- Architettura e Configurazione dei Servizi Internet, dei Servizi di Rete (LAN, WAN), dei Servizi a livello Applicativo.
- Verifica del Sistema Operativo (O.S.), dei Servizi di Rete, e dei Software di Base (versione, configurazione, personalizzazione).
- Verifica della presenza di Worm, Virus, Spyware, KeyLogger, Dialer, ecc.
- Analisi dei File di Log.
- Analisi del traffico di rete TCP/IP.
[ ethical hacking ]
- “Footprinting”, “Resource Enumeration”, “User Enumeration” (ricerca di informazioni relative all'infrastruttura, agli utenti e all'Organizzazione stessa).
- “Port Scanning” (ricerca delle porte di accesso a livello applicativo TCP).
- ACL (Access Control List) Check (verifica del controllo degli accessi a livello di rete IP e applicativo TCP).
- “Vulnerability Research, Analysis, and Check” (ricerca, analisi e verifica di eventuali vulnerabilità, a esclusione di Denial of Service che possono causare disservizi).
- “Password Cracking” (verifica della robustezza e/o del rispetto della politica di definizione delle password relativamente ai servizi e/o applicativi accessibili dall’esterno).
[ web application security testing ]
- Information Gathering (ricerca di informazioni relative all'applicazione, DBMS, run-time environment)..
- Configuration Management.
- Business Logic Testing.
- Authentication.
- Authorization.
- Session Management (Bypassing Session Management Schema, Cookies, Session Fixation and Variables).
- Data Validation (XSS, Code Injection, Buffer Overflow).
- Denial Of Service.
- Web Services (XML, HTTP GET Parameters/REST, Replay Testing).
- Languages Vulnerability.