Come funziona un penetration test

Secondo Kevin M. Henry, autore del bestseller Penetration Testing – Protecting Networks and Systems pubblicato da ITGP, per penetration test si intende la simulazione di un attacco ad un sistema, una rete, un device o una struttura, con l’obiettivo di valutare la vulnerabilità in caso di attacco reale.

Il penetration test è un processo pianificato con cura che prevede diverse fasi oltre all’attacco vero e proprio: si studia l’obiettivo, si cercano i suoi punti di forza e di debolezza, si identificano gli strumenti ottimali e le migliori tecniche per cercare di entrare nel sistema della vittima.

Gli hacker etici – conosciuti anche come “white hat” o “ethical” hacker – sono in tutto e per tutto hacker, con la differenza che il loro unico scopo è trovare le vulnerabilità prima che i “black hat hacker” le trovino e le sfruttino a loro piacimento.

Le 4 fasi del processo di penetration testing

Come sottolineato dall’autore nel suo libro, il processo di penetration testing è composto da 4 fasi:

  1. Footprinting
    Per prima cosa, si studia l’obiettivo. I penetration tester analizzano attentamente l’organizzazione, i suoi punti di forza e di debolezza e la sua reattività ad incidenti inaspettati, e raccolgono tutte le informazioni di chi hanno bisogno per determinare e progettare l’attacco. La fonte di tutte queste informazioni è l’organizzazione stessa ed altre fonti di pubblico dominio.
  2. Scanning
    Successivamente, i penetration tester iniziano a scansionare il sito web o l’infrastruttura di sistema alla ricerca di vulnerabilità e punti deboli che, in un secondo momento, possono sfruttare per sferrare l’attacco mirato.
  3. Enumeration
    A questo punto, i penetration tester sono pronti a sviluppare la strategia di attacco. Grazie alle informazioni raccolte finora, possono decidere quali strumenti e quali tecniche utilizzare per colpire il sistema. Hanno una vasta gamma di attacchi a disposizione: ingegneria sociale, SQL injections, malware, etc.
  4. Penetration
    La fase finale è l’attacco stesso. Utilizzando gli strumenti o le tecniche identificate nella fase precedente, sfruttano la vulnerabilità individuata per entrare nel perimetro dell’organizzazione. Missione compiuta.

Una volta completato il test, i penetration tester solitamente forniscono all’organizzazione un report dettagliato di tutte le vulnerabilità rilevate, la descrizione dell’attacco effettuato, insieme a raccomandazioni su come rendere più sicura l’organizzazione.

Per ogni report, un penetration test effettuato da IT Governance identifica, in media, 3 risultati a rischio critico, 8 ad alto rischio, 43 a rischio medio ed 11 a basso rischio.

Richiedi l’aiuto dei migliori

IT Governance è un’organizzazione accreditata al CREST (Council of Registered Ethical Security Testers), che esegue penetration test secondo i rigorosi standard identificati dall’ente. Tutti i servizi di penetration testing sono eseguiti da penetration tester qualificati e combinano una serie di valutazioni manuali con scansioni automatiche, per fornire una buona panoramica dello stato della sicurezza del cliente.

Scarica il libro verde gratuito Sicurezza garantita: migliora la tua sicurezza con il penetration testing per saperne di più.

Scarica ora, è gratis!

Leave a Reply

Il tuo indirizzo email non sarà pubblicato. I campi obbligatori sono contrassegnati *

Questo sito usa Akismet per ridurre lo spam. Scopri come i tuoi dati vengono elaborati.