Sicurezza informatica: cos’è il Pen Test?
Cos’è il Pen Test e quando si esegue
Il Pen Test, o penetration test rappresenta un attacco informatico che serve per valutare il livello di sicurezza di un sistema o di una rete. Il suo scopo primario è quello di individuare e segnalare la presenza di eventuali falle in grado di generare vulnerabilità.
Il Pen Test viene di fatto effettuato con la metodologia Open Source Security Testing Methodology Manual (OSSTMM) di Institute for Security and Open Methodologies (ISECOM) e consente di accertare la capacità di difesa di una rete interna o esterna.
Le principali fasi del Pen Test sono la definizione del target, la raccolta delle informazioni, l’enumerazione del target, la mappatura delle vulnerabilità, lo sfruttamento delle falle, l’escalation dei privilegi, il mantenimento dell’accesso e la redazione della documentazione.
Pen tester e hacker etici
I pen tester (o gli hacker etici) sono le figure professionali che vengono ingaggiate dalle aziende per testare il livello di sicurezza dei device e dei sistemi utilizzati: se esse riescono a superare le difese, si mettono a disposizione del cliente per eliminare le falle e rendere invalicabili i propri confini.
Organizzazioni come SANS, CREST, EC-Council e McAfee Foundstone danno agli hacker etici più abili delle vere e proprie certificazioni, che permettono loro di offrire a chi li assume un quantitativo maggiore di garanzie.
In buona parte dei casi, i migliori pen tester scrivono personalmente il codice degli strumenti di hacking adoperati, così da non rischiare che quanto scritto da altri possa contenere malware progettati apposta per hackerare gli hacker.
L’hacker etico deve adoperare le informazioni ottenute nella cosiddetta fase di scoperta per sfruttare le vulnerabilità dei sistemi e accedere agli stessi senza avere alcuna autorizzazione (nel caso non riuscisse a entrare in una risorsa, dovrebbe provare con le risorse di altri ambiti).
In linea generica va detto che il pen tester più abile non è tanto quello dotato di particolare genio, ma è piuttosto quello dotato di grande pazienza e accuratezza. Caratteristiche fondamentali che in questo settore permettono di raggiungere risultati effettivi.
Black Box e White Box: i diversi approcci del Pen Test
Se per ogni Penetration Test possono essere seguite diverse regole esecutive, gli approcci metodologici sono essenzialmente due: quello del Black Box (chiamato anche Scatola Oscura) e quello del White Box.
Nel primo caso coloro i quali effettuano il Pen Test non conoscono le tecnologie implementate nell’organizzazione target. Qui, oltre a dover sfruttate tutte le tecniche di hacking conosciute, bisogna anche saper classificare le vulnerabilità a seconda del grado di rischio.
Nel secondo caso, invece, ci si riferisce a un Penetration Test in cui chi attacca conosce l’intero ambiente da testare. Qui si valutano solo i rischi esterni a cui l’impresa può andare incontro, escludendo le vulnerabilità interne.
La metodologia del Black Box costa di più dal punto di vista del tempo e delle risorse impiegate. L’approccio White Box è simile all’altro, ma può meglio essere integrato nei cicli di vita di implementazioni software – hardware per eliminare sul nascere le problematiche di un attacco.
Differenze tra Vulnerability Assessment e Penetration testing
Un discorso a parte va poi fatto sulla differenza tra Vulnerability Assessment e Penetration testing:
- nella Vulnerability Assessment si evidenziano tutte le ipotetiche vulnerabilità, valutandone il possibile impatto;
- nel Penetration Test si identificano tutte le vulnerabilità, si sfruttano i possibili exploit pubblici e si punta al mantenimento dell’accesso ai sistemi target.
Questo tutto ciò che c’è da sapere sul Penetration Test: un processo che consente di analizzare la sicurezza dei sistemi aziendali, per individuare la presenza di eventuali punti deboli e potenziare l’intero comparto dell’infrastruttura IT.
