Pentest per SaaS e Aziende Tecnologiche
Sicurezza offensiva in prodotti SaaS B2B, multitenancy, API e infrastruttura cloud-native.
Perché ora
Il dolore reale
Il SaaS B2B vive di fiducia. Un finding in multitenancy che fa trapelare dati del cliente A al cliente B è game over — perdi il cliente, l'NPS, il rinnovo e a volte l'azienda. Compliance SOC 2, ISO e clienti enterprise esigono pentest periodici.
Regolamentazione applicabile
/superficie-di-attacco
Vettori che testiamo in saas e tecnologia
Ogni ingaggio è progettato per il vostro ambiente. I punti seguenti fanno parte del nostro playbook standard per questo settore — lo scope finale è adattato al vostro stack e contratto.
Multitenancy
Isolamento di tenant, IDOR cross-tenant, escape di namespace.
API REST/GraphQL
Auth, authz, rate limiting, mass assignment, introspection.
OAuth, SAML, OIDC
Implementazione SSO, validazione di assertion, replay, CSRF.
CI/CD e supply chain
GitHub Actions, secret in pipeline, dipendenza malevola.
Infrastruttura cloud
AWS/GCP/Azure, IAM, SSRF a metadata, S3 pubblico, IMDSv1.
/metodologia
Pentest manuale vero
Gli scanner automatici trovano ciò che è documentato. Gli attaccanti veri trovano ciò che non lo è. Il 90% del lavoro è manuale — eseguito da specialisti con OSCP, CISSP, CRTO e GPEN.
01 · Ricognizione
Mapping del target, OSINT, footprint, threat modeling specifico del settore.
02 · Scoperta
Enumerazione approfondita, scansione complementare, identificazione manuale dell'esposizione.
03 · Sfruttamento
Validazione manuale con PoC controllata, concatenamento di finding, escalation.
04 · Report
Esecutivo + tecnico, replica passo-passo, mappato alla regolamentazione applicabile.
/perche-fidarsi
Chi si è già fidato del nostro lavoro
Clienti SaaS B2B e piattaforme tecnologiche.
Valutazione tecnica riconosciuta in ambienti regolamentati ad alta criticità — il pentest che trova ciò che nessuno aveva trovato prima.
Douglas Lopes
Founder · CEO · intrus.io
/faq
FAQ — SaaS e Tecnologia
Fate pentest per SOC 2?
Sì. Pentest annuale con report accettato da audit SOC 2 Type II, mappato sui CC trust services criteria.
Servite startup in fase Serie A/B?
Sì. Pentest snello e focalizzato su multitenancy + API + infra, nel formato che i clienti enterprise chiedono in due diligence.
/contatti
Pronto per un pentest serio in saas e tecnologia?
Fissa una riunione riservata. Entro 48h inviamo la proposta con scope, tempi e prezzo.