Hacking etico: cos'è e come funziona

Cos'è l'hacking etico?

L'hacking etico usa test offensivi autorizzati per individuare le vulnerabilità sfruttabili prima dei veri aggressori. Il perimetro della vostra organizzazione viene sondato continuamente. La domanda è se la prima persona a trovare una falla sfruttabile lavori per voi o contro di voi. Con l'hacking etico, quella scoperta arriva prima a persone autorizzate.

Detto anche white-hat hacking, impiega le stesse tattiche, tecniche e procedure (TTPs) degli aggressori, ma con un'autorizzazione esplicita, un ambito definito e l'obbligo di segnalare le vulnerabilità per correggerle. La Web Security Testing Guide (WSTG) dell'Open Worldwide Application Security Project (OWASP) lo definisce come la pratica in cui "chi esegue il test agisce come un aggressore e cerca di individuare e sfruttare le vulnerabilità", equiparandolo direttamente al penetration testing. NIST SP 800-115 definisce il penetration testing come "un test di sicurezza in cui i valutatori simulano attacchi reali per individuare modi di aggirare le funzionalità di sicurezza di un'applicazione, un sistema o una rete".

La differenza tra il vostro programma di hacking etico e l'hacking criminale si riduce a una parola: autorizzazione. Il glossario della CISA National Initiative for Cybersecurity Careers and Studies (NICCS) definisce un red team come un gruppo "autorizzato e organizzato" per emulare le capacità di attacco o sfruttamento di un potenziale avversario contro la postura di cybersecurity di un'azienda.

Tipi di hacker

Non tutti gli hacker hanno le stesse intenzioni. Il settore della sicurezza li classifica in base alle motivazioni e all'autorizzazione:

• Gli hacker white hat sono professionisti della sicurezza autorizzati a testare i sistemi con un permesso esplicito. Seguono regole d'ingaggio definite, segnalano tutte le vulnerabilità all'organizzazione perché le corregga e operano sempre nei limiti della legge. L'hacking etico è white-hat hacking.
• Gli hacker black hat operano senza autorizzazione e con intenti malevoli. Sfruttano le vulnerabilità per ottenere guadagni economici, condurre attività di spionaggio o causare interruzioni. Le loro attività costituiscono reati ai sensi di leggi come il Computer Fraud and Abuse Act (CFAA) degli Stati Uniti.
• Gli hacker gray hat si collocano tra i due estremi. Possono individuare vulnerabilità senza un permesso esplicito, ma in genere le segnalano invece di sfruttarle. Indipendentemente dalle intenzioni, la loro attività si svolge in una zona grigia dal punto di vista legale e le organizzazioni non possono usare le loro scoperte per dimostrare la conformità.

Nella pratica esistono altre varianti. I ricercatori di sicurezza che partecipano ai programmi bug bounty operano come white hat secondo i termini di autorizzazione del programma. Gli script kiddie usano strumenti preconfigurati senza una conoscenza tecnica approfondita, causando spesso danni involontari a sistemi e reti.

Conoscere queste distinzioni chiarisce il ruolo dell'hacking etico: è sempre autorizzato, ha sempre un ambito definito ed è sempre condotto nell'interesse dell'organizzazione sottoposta al test.

Il ruolo dell'hacking etico nella cybersecurity

Il vostro programma di hacking etico si colloca tra la sicurezza offensiva e la verifica delle difese. NIST SP 800-115 attribuisce al penetration testing tre funzioni: verificare che i controlli di sicurezza soddisfino i requisiti, individuare debolezze sfruttabili e rafforzare la difesa proattiva della rete.

Questo approccio proattivo conta perché gli aggressori sfruttano sempre più spesso falle note. Il Data Breach Investigations Report (DBIR) 2026 di Verizon ha rilevato che il 31% delle violazioni è iniziato con lo sfruttamento di una vulnerabilità, superando le credenziali rubate come principale modalità d'accesso. Nel frattempo, il tempo mediano per applicare completamente una patch è salito a 43 giorni. I programmi di hacking etico mettono in luce questa finestra di esposizione. Poi vi danno le prove necessarie per chiuderla.

Il modello di maturità dell'hacking etico del SANS Institute descrive il percorso delle organizzazioni attraverso la scansione delle vulnerabilità, il penetration testing, il red teaming e il purple teaming. Ogni tipo di valutazione offre un valore distinto e le organizzazioni non abbandonano i metodi precedenti man mano che maturano. Combinano invece le valutazioni per coprire diverse dimensioni del rischio.

Questo percorso di maturazione crea un ciclo di verifica continua. I vostri test offensivi mostrano se i vostri strumenti difensivi, tra cui SentinelOne Singularity™ Platform, bloccano davvero le tecniche di attacco in condizioni realistiche.

Come funziona l'hacking etico

Un incarico professionale si articola in sei fasi, secondo NIST SP 800-115, il Penetration Testing Execution Standard (PTES) e OWASP WSTG v4.2.

Fase 1: preparazione e definizione dell'ambito

L'ambito dell'incarico deve chiarire perché avete bisogno del test, come deve procedere il vostro team se un sistema viene violato e quali dispositivi possono influire sui risultati. PTES indica questi punti come requisiti minimi preliminari. NIST SP 800-115 richiede un piano di gestione del progetto che definisca obiettivi, ambito, ruoli del team, limiti, tempistiche e risultati attesi. Il coordinamento necessario cresce con il rischio: un penetration test su un sistema critico richiede generalmente più coordinamento rispetto a un test su un sistema non critico.

Fase 2: ricognizione

Raccogliete quante più informazioni possibili sull'obiettivo. PTES chiama questa fase Intelligence Gathering: "condurre una ricognizione dell'obiettivo per raccogliere quante più informazioni possibili da utilizzare durante il tentativo di penetrarlo."

Fase 3: scansione e analisi delle vulnerabilità

Individuate i servizi attivi tramite la scansione delle porte e segnalate le vulnerabilità note con scanner dedicati. PTES prevede la creazione di un albero degli attacchi man mano che il test procede.

Fase 4: sfruttamento delle vulnerabilità

Tentate di ottenere l'accesso sfruttando le vulnerabilità confermate. NIST SP 800-115 descrive questa fase dell'attacco come un processo che "torna alla fase di individuazione quando emergono nuove informazioni."

Fase 5: post-exploitation

Valutate il valore di ogni macchina compromessa e ne mantenete il controllo per un uso successivo. La sezione post-exploitation di PTES definisce questa attività come "determinare il valore della macchina compromessa e mantenerne il controllo per un uso successivo." Si applica un vincolo di governance: "Quando i metodi di post-exploitation differiscono dalle Rules of Engagement concordate, è necessario attenersi alle Rules of Engagement."

Fase 6: report

Documentate l'intero processo in modo chiaro per le parti interessate. Secondo PTES, il report "documenta l'intero processo in modo comprensibile per il cliente e gli offre il massimo valore." I risultati vengono valutati con il Common Vulnerability Scoring System (CVSS), gestito da FIRST.Org, che assegna punteggi di gravità per definire le priorità.

Ogni fase alimenta la successiva. L'importanza di ciascuna dipende dal tipo di incarico.

Tipi di ethical hacking

L'ethical hacking comprende diverse discipline. Ognuna risponde a una domanda diversa sulle vostre difese.

• Penetration testing è la disciplina con gli standard formali più definiti. I tester operano entro un ambito prestabilito per individuare e sfruttare vulnerabilità specifiche.
• Il red teaming adotta un approccio più ampio, orientato a un obiettivo. Un red team simula un potenziale avversario contro l'intera azienda. Combina lo sfruttamento delle vulnerabilità di rete, l'ingegneria sociale e l'intrusione fisica per raggiungere un obiettivo eludendo i vostri controlli difensivi.
• I programmi bug bounty autorizzano ricercatori indipendenti a individuare vulnerabilità. I ricercatori scelgono autonomamente gli obiettivi e possono privilegiare le vulnerabilità più remunerative rispetto a una copertura sistematica.
• Il purple teaming riunisce i team offensivi e difensivi in tempo reale: il red team esegue le tecniche di attacco, mentre il blue team verifica e ottimizza le proprie capacità.

I professionisti di queste discipline possiedono generalmente certificazioni formali che attestano le loro competenze e la conoscenza delle metodologie.

Principali certificazioni professionali

Diverse certificazioni riconosciute dal settore attestano le competenze nell'ethical hacking. Spesso sono richieste dai datori di lavoro, dai quadri normativi e dai programmi di test governativi.

Il percorso di certificazione CREST parte da Practitioner Security Analyst (CPSA), prosegue con Registered Penetration Tester (CRT) e Certified Tester for Infrastructure or Application (CCT INF/CCT APP), fino ai livelli Certified Red Team Specialist e Manager.

Le certificazioni attestano le competenze dei professionisti. Gli strumenti le mettono in pratica.

Strumenti comuni per l'ethical hacking

Gli ethical hacker usano software specializzati per svolgere ogni fase di un incarico. Gli strumenti seguenti costituiscono il kit di base per penetration testing, red teaming e valutazione delle vulnerabilità. La conoscenza di questi strumenti è un requisito fondamentale per chi opera nell'ethical hacking.

Nessuno strumento copre ogni scenario di test. Un ethical hacking efficace combina scansioni automatizzate, test manuali e capacità di risolvere i problemi in modo creativo. È il giudizio del professionista nella scelta e nella combinazione degli strumenti a determinare se un incarico rileva solo problemi di base o scopre i percorsi di attacco complessi che avversari reali potrebbero sfruttare.

Le organizzazioni dovrebbero scegliere gli strumenti in base al tipo di incarico. Le valutazioni delle applicazioni web danno priorità ai proxy di intercettazione; i test dell'infrastruttura si basano su scanner di rete e framework per lo sfruttamento delle vulnerabilità; le operazioni di red teaming possono includere strumenti di social engineering e framework command-and-control personalizzati. La maggior parte di questi strumenti è open source o offre versioni gratuite per la community. Sono quindi accessibili sia ai professionisti dei test sia alle organizzazioni che sviluppano programmi interni.

Con metodologie e strumenti adeguati, i programmi di ethical hacking generano valore concreto per le organizzazioni.

I principali vantaggi dell'ethical hacking

Un programma di ethical hacking ben eseguito genera valore in quattro ambiti: individuazione delle vulnerabilità, verifica delle difese, conformità normativa e riduzione del rischio.

Individuate le vulnerabilità prima degli attaccanti. Gli ethical hacker usano le stesse tecniche degli avversari reali, ma segnalano ciò che scoprono anziché sfruttarlo.

Verificate le vostre difese in condizioni realistiche. Gli ethical hacker combinano le vulnerabilità, verificano se la vostra protezione degli endpoint blocca sequenze di attacco reali e rivelano lacune che la sola scansione non può individuare.

Soddisfate i requisiti normativi con evidenze documentate. Diversi importanti framework impongono o prevedono il penetration testing:

• Lo standard Payment Card Industry Data Security Standard (PCI DSS) v4.0.1 Requisito 11.4 impone il penetration testing almeno una volta ogni 12 mesi e dopo modifiche significative all'infrastruttura o alle applicazioni.
• Il regolamento dell'UE sulla resilienza operativa digitale (DORA) richiede test di penetrazione basati sulle minacce per le entità finanziarie.
• La proposta di aggiornamento della HIPAA Security Rule, non ancora definitiva, richiederebbe test di penetrazione periodici.
• SOC 2 Trust Services Criteria CC4.1 e CC7.1 creano di fatto un'aspettativa attraverso la prassi dei revisori, anche senza un obbligo esplicito di penetration testing.

Riducete il rischio con investimenti proattivi. L'hacking etico individua le vulnerabilità sfruttabili prima che causino una violazione e fornisce al vostro team priorità concrete per la correzione.

Il valore è reale, così come i limiti.

Sfide e limiti dell'hacking etico

Cinque limiti meritano attenzione. Nessuno è un motivo per smettere di eseguire test e ciascuno indica una pratica migliore.

I test puntuali hanno un problema di validità

Un'analisi pubblicata sulla rivista di ISACA individua una debolezza fondamentale: "limitare l'ambito per mostrare risultati favorevoli compromette la validità esterna dei penetration test." Il vostro ambiente cambia continuamente. L'infrastruttura cloud-native è effimera e un sistema presente all'inizio dell'incarico potrebbe non esistere più nella stessa forma quando arriva il report. Questo divario rende necessaria la convalida continua.

L'ambiguità giuridica crea un rischio persistente

Il CFAA considera reato l'accesso non autorizzato, ma non definisce chiaramente cosa significhi "senza autorizzazione". Un'analisi giuridica dell'autorizzazione ai sensi del CFAA esamina questa lacuna. Le linee guida del DOJ del 2022, secondo cui la ricerca sulla sicurezza condotta in buona fede non sarà perseguita, riflettono una scelta discrezionale dell'accusa, non una tutela prevista dalla legge. Possono essere ritirate o reinterpretate. Le regole d'ingaggio scritte e firmate sono la vostra tutela più solida.

La carenza di competenze è un limite strutturale

Le organizzazioni con carenze di competenze nella cybersecurity faticano maggiormente a mantenere programmi di test di alta qualità e potrebbero dover fare più affidamento su specialisti esterni e strumenti autonomi.

Gli ambienti IA e cloud-native evolvono più rapidamente delle metodologie consolidate

I sistemi IA possono fallire in modi che non rientrano nelle categorie tradizionali dei test di sicurezza. La guida OWASP ai test dell'IA documenta manipolazioni avversarie, prompt injection, avvelenamento dei modelli, allucinazioni con conseguenze operative ed eccessiva autonomia dell'IA. Testare questi sistemi richiede competenze congiunte in cybersecurity e machine learning, una combinazione oggi non disponibile su larga scala.

Gli strumenti basati su script non sostituiscono il giudizio umano

Gli strumenti di penetration test basati su script si affidano a schemi predefiniti e individuano efficacemente le vulnerabilità note, ma non rilevano vulnerabilità zero-day e catene di attacco complesse che richiedono ingegno. Affidate agli strumenti la ricerca delle vulnerabilità note. Riservate ai vostri tester le attività che richiedono di valutare il contesto.

A ciascuno di questi limiti corrisponde una risposta operativa.

Best practice per l'hacking etico

Queste pratiche rendono gli incarichi sicuri, ripetibili e difendibili sul piano legale.

1. Documentate le regole d'ingaggio (ROE) prima di iniziare i test. ISACA specifica che le ROE devono definire gli obiettivi concordati, i limiti espliciti, le autorizzazioni necessarie e la ripartizione delle responsabilità legali in caso di interruzioni impreviste o perdite finanziarie. Le ROE devono essere firmate sia dall'azienda cliente sia dal team di test, conservate in modo sicuro e stabilite prima di avviare qualsiasi attività. Il framework di DeMarco Law applica il principio medico primum non nocere ("per prima cosa, non nuocere"): l'utente o il sistema non deve essere esposto a rischi aggiuntivi oltre quelli necessari a dimostrare la vulnerabilità.
2. Usate framework consolidati per garantire ripetibilità e governance. SANS afferma che l'uso di framework come MITRE ATT&CK e PTES "dimostra al management, agli stakeholder e ai clienti che un'organizzazione offre un servizio professionale e ripetibile."
3. Passate alla convalida continua. I test annuali lasciano lunghi intervalli tra una valutazione e l'altra. Integrate i test di sicurezza nelle vostre pipeline di integrazione e distribuzione continue (CI/CD). OWASP raccomanda di creare misure di sicurezza tecniche affinché il percorso più semplice per gli sviluppatori sia anche il più sicuro.
4. Definite l'ambito dei test di ingegneria sociale secondo principi etici. Gli scenari di ingegneria sociale dovrebbero rivelare vulnerabilità nei processi, nella consapevolezza e nei comportamenti umani. I test del red team tramite phishing via email non dovrebbero mai includere software dannoso nel payload. I test non devono esporre gli utenti a rischi aggiuntivi oltre quelli necessari a dimostrare la vulnerabilità.
5. Trattate gli ambienti dei sistemi di controllo industriale e delle tecnologie operative (ICS/OT) come una categoria distinta. Gli ambienti OT comportano implicazioni per la sicurezza fisica che vanno oltre le conseguenze per la cybersecurity.

A prescindere dalla disciplina o dalla metodologia, ogni incarico di hacking etico produce risultati su cui i vostri strumenti di difesa devono intervenire.

Convalidate i risultati dell'hacking etico con SentinelOne

L'hacking etico vi mostra dove le vostre difese cedono. Singularity™ Platform di SentinelOne offre al vostro team un modo per verificare che la correzione sia efficace prima che la metta alla prova un attacco reale.

Il ciclo di convalida funziona così: i vostri penetration tester eseguono tecniche di attacco. La Singularity Platform risponde autonomamente. Confrontate i risultati con quelli attesi e apportate le modifiche necessarie. La piattaforma è stata convalidata contro Cobalt Strike beacon, furto delle credenziali e movimento laterale durante test di penetrazione simulati. Nelle 2024 MITRE ATT&CK® Evaluations: Enterprise, SentinelOne ha rilevato il 100% degli attacchi senza ritardi e con l'88% di avvisi in meno rispetto alla mediana di tutti i fornitori valutati.

Grazie alle partnership ufficiali con Keysight e SafeBreach, potete simulare attacchi in sicurezza e verificare continuamente che la piattaforma sia implementata correttamente. Per gli ambienti cloud, Singularity Cloud Native Security, parte di Singularity Cloud Security, usa il suo Offensive Security Engine per testare le esposizioni nel cloud come farebbe un attaccante. Verified Exploit Paths mostra quali sono realmente sfruttabili, così il vostro team corregge prima le debolezze di sicurezza più critiche.

Purple AI™ accelera le indagini sui risultati dei test di penetrazione. Come analista di sicurezza basato su agenti IA, trasforma le query in linguaggio naturale in ricerche approfondite nei log di rilevamento e risposta degli endpoint (EDR), delle identità e della rete. Agentic Investigations integra il ragionamento forense nel flusso delle indagini. Indagini che prima richiedevano ore o giorni ora richiedono minuti. Secondo uno studio IDC Business Value, Purple AI accelera del 63% l'identificazione delle minacce e del 55% la correzione.

La piattaforma copre ogni superficie presa di mira dai vostri tester: endpoint (Windows, Linux, macOS), workload cloud (VM, container, Kubernetes), sistemi di identità (Singularity Identity per Active Directory ed Entra ID) e reti, con Singularity Network Discovery per il controllo dei dispositivi non autorizzati e dell'IoT. Include anche le funzionalità di Singularity AI SIEM per indagini approfondite e analisi dei dati in tempo reale. 

Prenotate una demo di SentinelOne per scoprire come la piattaforma verifica la vostra postura di sicurezza rispetto a tecniche di attacco reali.

Liberate la cybersicurezza alimentata dall'intelligenza artificiale

Elevate la vostra posizione di sicurezza con il rilevamento in tempo reale, la risposta automatica e la visibilità totale dell'intero ambiente digitale.

Richiedi una demo

Conclusione

L'hacking etico usa test offensivi autorizzati e con un ambito definito per individuare le vulnerabilità sfruttabili prima degli attaccanti. Segue framework strutturati (NIST SP 800-115, PTES, OWASP), soddisfa i requisiti normativi, da PCI DSS v4.0.1 a DORA, e offre un valore operativo misurabile. 

I limiti delle verifiche puntuali, la carenza di competenze e i metodi di attacco basati sull'IA richiedono una validazione continua. Abbinate questa disciplina alla difesa autonoma della Singularity Platform e ogni risultato dei test di penetrazione diventa una correzione verificata. Individuate la lacuna per primi. Colmatela per primi.