Rafael Pfister

Consulting

Penetration test e-mail: il flusso di posta come superficie d’attacco

I penetration test generici verificano reti e applicazioni web; il flusso di posta resta spesso escluso, benché l’e-mail sia uno dei punti d’ingresso più frequenti negli attacchi alle aziende. Verifico la tua infrastruttura di posta con i metodi di un attaccante: se i mittenti possono essere falsificati, se il gateway può essere aggirato e quali servizi sono raggiungibili dall’esterno.

La consulenza si svolge in tedesco o in inglese.

  • Penetration test
  • Spoofing
  • SPF/DKIM/DMARC
  • Aggiramento del gateway
  • Exchange
  • Microsoft 365

Ambiti di test

  • Spoofing e autenticazioneIl tuo dominio può essere falsificato dall’esterno? SPF, DKIM e DMARC vengono testati verso destinatari reali, compresi sottodomini e domini dall’aspetto simile.
  • Aggiramento del gatewayRecapito diretto a Exchange Online o al server di posta aggirando il gateway a monte, Direct Send, connettori e relay non sufficientemente protetti.
  • Servizi raggiungibiliSMTP, OWA, EWS, ActiveSync, Autodiscover e interfacce di amministrazione dei gateway: versioni, vulnerabilità note, configurazione TLS e metodi di autenticazione.
  • Filtri e recapitoCome il gateway gestisce allegati, link e header preparati, verificato con modelli di test innocui invece che con vero malware.
  • Sicurezza delle caselle in Microsoft 365Autenticazione legacy, inoltri esterni, consensi alle app e configurazione dell’audit, come revisione della configurazione.

Quadro e incarico

Ogni test inizia con un incarico scritto: perimetro, finestra temporale, referenti e sistemi esclusi vengono definiti in anticipo. Vengono testati esclusivamente sistemi di cui il committente può disporre; per i test contro Microsoft 365 valgono inoltre le Rules of Engagement di Microsoft per i penetration test nel cloud. Le simulazioni di phishing rivolte ai collaboratori non fanno parte del perimetro standard e vengono svolte solo previo accordo con i responsabili del personale e della protezione dei dati.

Come si svolge un incarico

  1. Incarico e perimetroDefinire per iscritto obiettivi, sistemi, finestra temporale e contatto di emergenza.
  2. RicognizioneValutare le informazioni pubblicamente visibili: DNS, MX, certificati, servizi esposti.
  3. TestNella finestra temporale concordata, ogni passo registrato e tracciabile.
  4. Rapporto e test di verificaRisultati prioritizzati in base al rischio, con misure concrete; dopo l’attuazione, un test di verifica dei punti critici.

Esempi dalla pratica