01
Liste di CVE al posto di catene d'attacco
Un output automatico elenca versioni obsolete. Noi mostriamo il percorso: da dove si entra, cosa si concatena, dove si arriva. Il rischio si capisce solo vedendolo percorso fino in fondo.
Offensive security · Italia
Scopriamo come entrerebbero.
Prima che ci provi qualcun altro.
Isengard è un team italiano di Penetration Tester certificati OSCP, CRTP e CRTO. Testiamo a mano le vostre applicazioni, le vostre reti e la vostra infrastruttura Active Directory, e vi consegniamo evidenze riproducibili e priorità chiare, non l'export di uno scanner.
Risposta entro 4 ore · Perimetro e regole d'ingaggio concordati prima di iniziare
Il problema
Un PDF da 300 pagine non ha mai fermato un attaccante.
Molte aziende hanno già fatto un test di sicurezza. Poche sono riuscite a farne qualcosa. La differenza non sta negli strumenti: sta in cosa arriva sul tavolo di chi deve decidere.
02
Severità copiate, priorità mancanti
Un CVSS alto su un sistema isolato conta meno di un difetto “medio” sull'unica porta verso i dati dei clienti. Ogni finding viene pesato sul vostro contesto, con un ordine di intervento che regge davanti al CdA.
03
Consegna e sparizione
Il report è l'inizio del lavoro. Restiamo disponibili durante la remediation, parliamo direttamente con i vostri sviluppatori e sistemisti, e verifichiamo le correzioni con un retest incluso.
Servizi
Quattro modi di guardare la vostra superficie d'attacco.
Ogni attività è eseguita da un operatore certificato, con perimetro, regole d'ingaggio e criteri di successo definiti prima di iniziare.
Penetration Test Web & API
Autenticazione, autorizzazioni, logica di business, IDOR, injection, gestione delle sessioni, multi-tenancy. Test in ottica utente reale, con e senza credenziali, su applicazioni e servizi REST/GraphQL.
Penetration Test Infrastruttura
Perimetro esterno e rete interna: servizi esposti, configurazioni deboli, credenziali riutilizzate, pivoting e verifica reale della segmentazione. Dal punto di vista di chi è già dentro e di chi deve ancora entrare.
Active Directory & Red Team
Escalation di privilegi in dominio, abusi Kerberos, deleghe, ACL, movimento laterale e persistenza. Simulazione di TTP reali mappate su MITRE ATT&CK per misurare non solo l'esposizione, ma anche la capacità di rilevamento.
Vulnerability Assessment
Copertura ampia e ripetibile su tutto il perimetro, con scansioni autenticate dove serve e - soprattutto - triage manuale: quello che arriva a voi è già ripulito dai falsi positivi e ordinato per rischio effettivo.
Su richiesta: campagne di phishing simulato con perimetro concordato e secure code review.
Metodo
Sei fasi. Nessuna sorpresa.
Sapete in anticipo cosa facciamo, quando lo facciamo e cosa riceverete. Le metodologie sono pubbliche e verificabili: OWASP WSTG e ASVS, PTES, NIST SP 800-115, MITRE ATT&CK, scoring CVSS.
- 1
Scoping
Una call per capire cosa proteggete e cosa vi tiene svegli. Da lì definiamo il perimetro esatto, le regole d'ingaggio, le finestre operative, i criteri di successo e i contatti di emergenza, con giornate e data di consegna dichiarate prima della firma.
- 2
Ricognizione e mappatura
Ricostruiamo la superficie d'attacco reale: asset esposti, tecnologie, punti d'ingresso, informazioni pubbliche utili a un attaccante. Spesso è qui che emergono i sistemi che nessuno ricordava di avere online.
- 3
Analisi ed exploitation
Verifica manuale di ogni ipotesi, con exploit controllati e non distruttivi. Documentiamo passo per passo, con richieste, payload e screenshot, così ogni finding è riproducibile dal vostro team.
- 4
Post-exploitation
Misuriamo l'impatto reale: fin dove si arriva, a quali dati, con quali privilegi e quanto in fretta. Su richiesta valutiamo anche cosa i vostri strumenti di monitoraggio hanno visto - e cosa no.
- 5
Reporting e debrief
Report a due livelli, executive e tecnico, con priorità di intervento e indicazioni di remediation concrete. Una call di debrief con management e team tecnico per rispondere a tutte le domande.
- 6
Retest e chiusura
Dopo le correzioni verifichiamo ogni vulnerabilità sanata e aggiorniamo il report con l'esito. Incluso, non a listino: il lavoro finisce quando il rischio è chiuso.
Deliverable
Cosa vi resta in mano.
Un test di sicurezza vale quanto le decisioni che permette di prendere. Per questo consegniamo materiale usabile da tre pubblici diversi: la direzione, chi mette le mani sui sistemi e chi vi chiede conformità.
Executive summary
Da tre a cinque pagine, senza gergo: rischio complessivo, impatto sul business, cosa fare per primo. Pensato per chi approva i budget.
Report tecnico
Ogni finding con descrizione, severità motivata, asset coinvolti, passi di riproduzione, evidenze e remediation puntuale. Pensato per chi corregge.
Piano di remediation
Interventi ordinati per rapporto rischio/sforzo, con mitigazioni temporanee dove la correzione definitiva richiede tempo.
Debrief tecnico
Una sessione in cui ripercorriamo gli attacchi con il vostro team. È la parte che trasferisce competenza, e resta anche dopo di noi.
Retest documentato
Verifica delle correzioni e report aggiornato con lo stato finale di ogni vulnerabilità. Incluso nel perimetro concordato.
Conformità
Le verifiche che i vostri obblighi richiedono.
Il test tecnico serve prima di tutto a ridurre il rischio, ma produce anche l'evidenza documentale che normative, standard e clienti vi chiedono. I nostri deliverable sono strutturati per essere allegati a un audit senza rielaborazioni.
Parliamo del vostro obbligo- NIS2Direttiva UE 2022/2555, recepita in Italia con il D.Lgs. 138/2024: gestione del rischio e valutazione periodica dell'efficacia delle misure.
- ISO/IEC 27001:2022Controllo 8.8 - gestione delle vulnerabilità tecniche: evidenza di identificazione, valutazione e trattamento.
- GDPR - art. 32Obbligo di procedure per testare, verificare e valutare regolarmente l'efficacia delle misure di sicurezza.
- PCI DSS 4.0Requisito 11.4 - Penetration Test interni ed esterni periodici e dopo modifiche significative.
- DORARegolamento UE 2022/2554: test di resilienza operativa digitale per il settore finanziario e i suoi fornitori.
- Questionari fornitoriExecutive summary condivisibile in risposta alle due diligence di sicurezza dei vostri clienti enterprise.
Team
Poche persone. Nomi e cognomi.
Non siamo una struttura che gira il lavoro a terzi. Chi vi risponde e chi esegue il test sono le persone che trovate qui sotto - e restano le stesse per tutta la durata del progetto.
Fabio Rizzitelli
Key Account Manager
Primo punto di contatto e referente unico per tutta la durata del rapporto. Traduce gli obiettivi di sicurezza in un perimetro tecnico sensato, cura scoping, tempistiche e contratti, e si assicura che il valore del test arrivi anche a chi non legge un report tecnico.
- Scoping e definizione del perimetro
- Offerte e gestione dei contratti
- Relazione con management e procurement
Brayan Moreau
Red Team Leader
Responsabile dell'esecuzione tecnica e della qualità dei risultati. Guida le attività di Penetration Test e red teaming, con specializzazione su ambienti Active Directory, movimento laterale e simulazione di TTP reali. Firma i report e conduce i debrief tecnici.
- Penetration Test web, API e infrastruttura
- Active Directory e operazioni red team
- Revisione tecnica e qualità dei report
OSCPCRTPCRTO
Sulle certificazioni. Sono tutte prove pratiche di laboratorio, non test a risposta multipla. OSCP (Offensive Security) richiede la compromissione documentata di una rete sotto esame a tempo; CRTP (Altered Security) certifica l'attacco ad ambienti Active Directory; CRTO (Zero-Point Security) la conduzione di operazioni red team in presenza di controlli difensivi.
Domande frequenti
Le risposte che chiedono tutti, prima di chiederle.
Qual è la differenza tra Vulnerability Assessment e Penetration Test?
Il Vulnerability Assessment misura l'ampiezza: individua e classifica le vulnerabilità note su tutto il perimetro in esame, ed è ideale come controllo ricorrente. Il Penetration Test misura la profondità: un operatore tenta di sfruttare realmente le debolezze e di concatenarle, per dimostrare quale impatto è effettivamente raggiungibile. Il primo risponde a «quante porte sono aperte», il secondo a «fin dove si arriva davvero». Nella maggior parte dei casi servono entrambi, con cadenze diverse.
Quanto dura un'attività e quando riceviamo il report?
Un'applicazione web di media complessità richiede tipicamente da 5 a 10 giornate di test, più la stesura del report; un perimetro esterno limitato può chiudersi in pochi giorni. In fase di scoping indichiamo giornate, finestra di esecuzione e data di consegna prima della firma. Se durante il test emerge una vulnerabilità critica, non aspettiamo il report: vi avvisiamo subito.
Il test può causare disservizi in produzione?
Le attività sono progettate per essere non distruttive. Le tecniche con rischio di indisponibilità (ad esempio stress test o exploit instabili) vengono escluse, oppure autorizzate esplicitamente per iscritto e pianificate in finestre concordate. Durante tutto il test resta attivo un canale diretto con il nostro team e una procedura di stop immediato.
Quanto costa un Penetration Test?
Il prezzo dipende esclusivamente dal perimetro e dalle giornate necessarie, che stimiamo dopo una call di scoping gratuita e senza impegno. Non applichiamo costi variabili non dichiarati, e il retest è compreso. Se il budget disponibile non copre tutto, lo diciamo e proponiamo un perimetro ridotto sugli asset più critici anziché un test superficiale su tutto.
Cosa serve per iniziare un Penetration Test?
Un referente tecnico, l'elenco degli asset in perimetro, eventuali credenziali di test e l'autorizzazione formale all'attività, anche da parte di terzi se i sistemi sono ospitati presso un provider. Nulla di più: la preparazione lato vostro si misura in ore, non in settimane.
Come proteggete i dati e i risultati del test?
Cifratura dei dati raccolti, accesso limitato al solo personale coinvolto nell'incarico, consegna dei report tramite canale cifrato e cancellazione documentata al termine del periodo di conservazione concordato. Nessuna attività viene subappaltata a terzi.
Siete un'azienda appena nata: perché dovremmo scegliervi?
È una domanda legittima e preferiamo rispondere apertamente. La società è nuova, le competenze no: sono certificate con prove pratiche, verificabili e nominali. In cambio ottenete quello che le strutture grandi difficilmente offrono: l'operatore senior che testa davvero i vostri sistemi invece di supervisionare, un referente unico che risponde, retest e debrief compresi. Se volete valutarci con il rischio minimo, partiamo da un perimetro circoscritto: il report parlerà per noi.
Contatti
Iniziamo da una domanda semplice: cosa vi preoccupa di più?
La prima call di scoping è gratuita e senza impegno: trenta minuti per capire il perimetro, i vincoli e se siamo la scelta giusta per voi. Se non lo siamo, ve lo diciamo.
- Email info@isengard.tech
- Telefono +39 339 619 5558
- Referente commerciale Fabio Rizzitelli - Key Account Manager
- Segnalazioni di sicurezza security@isengard.tech
Preferite non scrivere dettagli tecnici via email? Nessun problema: basta una riga per fissare una call e ne parliamo a voce.