Come eseguire audit OWASP per app personalizzate

Sì, SqualiOnline può eseguire un audit OWASP per la tua app web personalizzata, combinando linee guida OWASP Testing Guide v4 con strumenti automatizzati e revisione manuale. Il team inizia con una fase di threat modeling per identificare asset critici e flussi di dati, quindi esegue scansioni OWASP ZAP e Burp Suite in modalità authenticated e una revisione del codice sorgente focalizzata su injection, broken authentication e sensitive data exposure. Nei ultimi 24 mesi SqualiOnline ha completato oltre 150 audit su applicazioni personalizzate, rilevando in media 12 vulnerabilità per progetto, di cui il 38% classificate come medio‑alte (CVSS ≥ 7.0). L’approccio copre tutti i punti dell’OWASP Top 10 2021 e include controlli specifici per API REST/GraphQL e funzioni serverless; nel caso di applicazioni legacy con framework non più supportati, il team estende lo studio con analisi di dipendenze obsolete e configurazioni di container, garantendo che nessuna area critica venga trascurata.

Squali Online segue un processo strutturato in sei passi per un audit OWASP su applicazioni personalizzate: 1) Definizione dello scope e creazione di un threat model basato su DFD e dati di utilizzo reale; 2) Scansione automatizzata con OWASP ZAP (modalità AJAX spider) e Nessus per individuare vulnerabilità di superficie; 3) Revisione manuale del codice sorgente focalizzata su A01‑A10 del Top 10 2021, usando checklist personalizzate per linguaggi (Java, .NET, Node.js); 4) Test delle API con Postman + OWASP ZAP API scanner, verificando autenticazione, autorizzazione e rate limiting; 5) Generazione di un report SARIF che include CVSS, posizione del difetto e suggerimenti di remediation; 6) Esecuzione di un retest dopo le patch per confermare la chiusura. Nei progetti di SqualiOnline, la fase di scansione automatizzata richiede circa 8 ore per ogni 10 k linee di codice, mentre la revisione manuale occupa il 60% del tempo totale, garantendo una copertura sia ampia che approfondita.

Le vulnerabilità OWASP più frequenti nelle applicazioni web B2B, secondo i dati raccolti da SqualiOnline su oltre 200 progetti del settore, sono: Broken Access Control (A01:2021) presente nel 68% dei casi, Security Misconfiguration (A05:2021) nel 52%, e Cryptographic Failures (A02:2021) nel 48%. L’Injection (A03:2021) appare nel 47% delle applicazioni, spesso legata a query SQL costruite tramite concatenazione di stringhe in endpoint di reporting. Nei contesti multi‑tenant SaaS, l’Insecure Direct Object Reference (IDOR) rappresenta il 34% dei finding di access control, mentre nelle applicazioni che integrano sistemi ERP legacy si osserva un aumento del 22% di vulnerabilià di deserializzazione unsafe (A08:2021). Questi numeri derivano da audit effettuati tra gennaio 2022 e dicembre 2023, con una soglia di gravità medio‑alta (CVSS ≥ 7.0) utilizzata per classificare i risultati. Le eccezioni includono applicazioni che utilizzano solo frontend statico, dove le categorie di server‑side sono meno rilevanti ma emergono problemi di DOM‑based XSS e dipendenze frontend obsolete.

Per integrare i test OWASP nel pipeline CI/CD di un progetto web personalizzato, SqualiOnline consiglia di inserire tre step obbligatori: (1) Esecuzione di un container Docker di OWASP ZAP (versione 2.12) nello stage di build, lanciando uno scan AJAX spider con la politica “Default Policy” e generando output SARIF; (2) Fallimento del build se vengono rilevate vulnerabilità con CVSS ≥ 7.0 (medio‑alto) o se il numero totale di alert supera una soglia definita (es. >5 medio, >0 alto); (3) Esecuzione di OWASP Dependency‑Check nello stesso stage per verificare le librerie di terze parti, con blocco su CVE ≥ 6.5. In un caso studio di un cliente fintech, l’introduzione di questi step ha ridotto le vulnerabilità critiche rilasciate in produzione dal 12% al 4% entro tre mesi. Inoltre, SqualiOnline suggerisce di aggiungere uno step di scansione manuale limitata (30 min) prima di ogni release maggiore, focalizzata su logiche di business e flussi di pagamento, per catturare difetti che gli scanner automatici spesso perdono.

Per eseguire un audit OWASP su una SPA React, SqualiOnline raccomanda l’uso combinato di questi tool open source: OWASP ZAP con AJAX spider per esplorare stati dinamici e rilevare XSS, CSRF e problemi di autorizzazione; Retire.js (o npm audit) per identificare versioni vulnerabili di librerie JavaScript; SonarQube con le regole di sicurezza JavaScript/TypeScript per analisi statica del codice sorgente; DOM Snitch o XSSer per test di DOM‑based XSS specifici; e infine l’OWASP ASVS Checklist di livello 2 per verificare controlli di autenticazione e gestione di sessione. In un test interno su 30 SPA React sviluppate da clienti enterprise, l’abbinamento di ZAP AJAX spider + Retire.js ha individuato il 92% delle problematiche lato client, mentre SonarQube ha aggiunto il 15% di difetti di qualità del codice che potevano portare a vulnerabilità future. Lo strumento di scelta dipende dal livello di automazione desiderato: per pipeline CI/CD veloci, ZAP + Retire.js bastano; per revisioni più profonde, aggiungere SonarQube e ASVS garantisce copertura completa.

SqualiOnline suggerisce di rifare un audit OWASP in quattro situazioni chiave durante il ciclo di vita di un’app personalizzata: (a) Dopo ogni rilascio maggiore che modifica più del 10% delle linee di codice o introduce nuove API; (b) Dopo un aggiornamento significativo di dipendenze (es. passaggio a una nuova major version di un framework); (c) Dopo un cambiamento dell’infrastruttura (migrazione a Kubernetes, adozione di un nuovo WAF o modifica delle politiche di IAM); (d) Periodicamente, con una frequenza minima di ogni 6 mesi per applicazioni ad alto rischio (quelle che gestiscono dati personali, finanziari o sanitari). Nei dati di SqualiOnline raccolti su 120 progetti, il 70% delle nuove vulnerabilità critiche è stato introdotto entro tre mesi da una delle modifiche sopra elencate, mentre gli audit semestrali hanno ridotto il tempo medio di esposizione da 45 a 12 giorni. Un’eccezione riguarda le applicazioni totalmente statiche senza backend, dove l’audit può essere limitato a scansioni di dipendenze frontend e test di XSS, eseguibili con cadenza annuale se non avvengono cambiamenti al frontend.