Report di esempio TLPT | Anteprima del PDF di 68 pagine

Progetto Meridian: esercitazione fittizia di Megabank AG che copre tre funzioni critiche, tre scenari e dodici rilievi. Tutti i sistemi, i partecipanti e i risultati sono inventati.

Il team ottiene l’esecuzione di comandi senza privilegi root su un host diagnostico esposto a Internet, accede alla CI e usa un token di servizio per modificare un pagamento canary. La sintesi distingue questa catena d’attacco senza assistenza dai risultati ottenuti con supporto per CRM e ripristino, e identifica i controlli di firma, dati essenziali e copie immutabili che hanno retto.

L’architettura collega i canali dei clienti, le identità e i fornitori alle zone perimetrali, operative e di supporto. I pagamenti, i conti digitali e la tesoreria dipendono dai dati centrali, dal rilevamento e dal ripristino. Le frecce rappresentano dipendenze logiche, non un accesso di rete senza restrizioni.

Il team invia una sonda letterale di command injection e riceve un 403 dal WAF. Una variante con escape Unicode riceve un 200 e restituisce l’output di id, hostname e pwd come svc_diag su mb-diag-01. Entrambi gli scambi HTTP, gli ID delle richieste e gli orari UTC sono mostrati come evidenze sintetiche.

F-03 mostra una richiesta PATCH effettuata con l’identità svc_pay_orch acquisita, la modifica accettata del beneficiario su MER-PAY-0042 e una rilettura indipendente. Il servizio modifica la bozza canary, mentre un’autorizzazione di firma separata impedisce il regolamento.

F-06 specifica una riproduzione dalla richiesta WAF accettata, attraverso CI, fino all’API dei pagamenti. Un caso deve collegare host, richiesta, artefatto, principal e pagamento, con un obiettivo di triage di 15 minuti. La procedura è esplicitamente contrassegnata come non ancora eseguita; una futura convalida non viene presentata come un retest superato.

Per tre rilievi sono stati registrati controlli di chiusura: command injection, revoca delle sessioni e bonifica. Ne restano nove aperti, con scadenze per credenziali, autorità su pagamenti e ripristino, vincolo delle approvazioni, segmentazione, rilevamento e controlli di supporto. Si tratta di obiettivi fittizi per banche, non di termini di rimedio previsti dalla legge.

La mappatura collega i requisiti dell’allegato V delle RTS alla relazione tecnica e distingue il rapporto del blue team, la sintesi depurata del test e l’attestazione dell’autorità ai sensi degli allegati da VI a VIII. Un esempio non può dimostrare la conformità normativa.