Il penetration testing è un attacco informatico simulato che valuta la sicurezza dei sistemi e delle reti. Questa guida esplora i principi del penetration testing, i suoi vantaggi e le metodologie utilizzate dai professionisti della sicurezza.
Scopri l'importanza di eseguire regolarmente il penetration testing per identificare le vulnerabilità e migliorare le misure di sicurezza. Comprendere i test di penetrazione è essenziale per le organizzazioni che desiderano proteggere efficacemente le proprie risorse digitali.
Chi esegue i test di penetrazione?
Le organizzazioni ingaggiano pen tester qualificati con una vasta conoscenza di IT, sicurezza delle applicazioni, sicurezza delle reti e linguaggi di programmazione software. I pen tester utilizzano linguaggi di scripting per creare script che eseguono attacchi approvati su sistemi entro determinati limiti, progettati per non danneggiare i sistemi durante il test. Utilizzano la loro conoscenza del codice software per esaminare il software alla ricerca di bug di sicurezza. Un penetration tester professionista, o pen tester, esegue il test di penetrazione su richiesta di un'organizzazione. Il pen tester non deve danneggiare i sistemi durante l'esecuzione del test. Deve fornire prove delle vulnerabilità e di come le ha penetrate.
Utilizzando i risultati del pen test, l'organizzazione può applicare patch ai sistemi e mitigare i difetti. Il pen tester verifica quindi che l'organizzazione abbia risolto le vulnerabilità tentando di penetrare nuovamente nel sistema.
Penetrazione esterna vs. interna
Esistono diversi tipi di pen test. Il test di penetrazione esterno inizia con il pen tester che non ha alcun accesso o autorizzazione speciale sui sistemi sottoposti a test. Partendo dallo stesso punto di vista di un hacker criminale, il tester tenta di entrare nel perimetro, nelle applicazioni esposte a Internet e nei sistemi vulnerabili all'interno dell'organizzazione che può raggiungere dall'esterno.
Il test può includere attacchi a connessioni Remote Desktop Protocol (RDP) vulnerabili, ad esempio, destinate ad appaltatori che necessitano di accesso alla rete esterna per svolgere il proprio lavoro. Il pen tester può testare i dispositivi endpoint, come smartphone e computer degli utenti su una rete, poiché questi sono probabili punti di ingresso per accessi non autorizzati.
Un pen test interno è un test di vulnerabilità delle reti interne e dell'infrastruttura dell'organizzazione. Il test determina fino a che punto un aggressore può arrivare una volta entrato nella rete. Il test determina se sono possibili lunghi tempi di permanenza in cui l'aggressore può mantenere una presenza all'interno della rete e l'azienda non sa che è lì per periodi prolungati.
Il test determina se è possibile spostarsi lateralmente attraverso le reti interne e l'infrastruttura da un insieme di risorse di rete, come i database dei clienti, ad altri contenenti proprietà intellettuale. Rivelerebbe le capacità di una minaccia interna che sfrutta le vulnerabilità esistenti, tra cui diritti di accesso e autorizzazioni eccessivi.
Test di penetrazione vs. valutazione delle vulnerabilità
A differenza dei test di penetrazione, i test di vulnerabilità sono spesso automatizzati utilizzando software di scansione delle vulnerabilità di rete. I test di vulnerabilità consentono alle organizzazioni di conoscere l'esistenza di punti deboli. I test di penetrazione confermano che gli aggressori possono sfruttare le vulnerabilità in modo dannoso per ottenere un accesso aggiuntivo ed esfiltrare i dati.
White, Black e Gray | Come vengono eseguiti i test di penetrazione
Molti tipi di test di penetrazione possono aiutare un'organizzazione a mantenere una buona igiene della sicurezza e una solida posizione di sicurezza. Il cliente può richiedere uno o una combinazione di questi test di penetrazione.
Test white box
Con i test white box, il pen tester ha una visibilità completa della rete e dei sistemi sottoposti a test. I test white box consentono al tester di includere tutto il codice software nel test, poiché nulla è nascosto alla sua vista. Il test white box è preferibile per i test automatizzati, spesso utilizzati negli ambienti di sviluppo. Il test white box consente di eseguire test frequenti e automatizzati del software in fase di sviluppo per mantenerlo sicuro durante tutto il ciclo di vita dello sviluppo.
Test black box
Il test black box mantiene il tester di penetrazione all'oscuro. Il tester non sa nulla del sistema o del software. Deve testare dal punto di vista di un aggressore, impegnandosi in attività di ricognizione, raccolta di informazioni e ottenimento dell'accesso iniziale alla rete senza conoscenze preliminari interne. Il tester deve lanciare un attacco e sfruttare il sistema con gli strumenti di cui dispone. Il test black box è il test più impegnativo ma anche il più completo.
Test grey box
Il test grey box offre al pen tester una visione limitata dei sistemi e del software. Il test serve a determinare quanto accesso aggiuntivo potrebbe acquisire un utente privilegiato e cosa potrebbe fare con esso. Il test grey box può aiutare a determinare se un insider potrebbe elevare i propri privilegi per lanciare un attacco interno o cooperare con un aggressore esterno.
Fasi del test di penetrazione
Il test di penetrazione si articola in cinque fasi, in particolare quando il tester non ha alcuna conoscenza preliminare dei sistemi sottoposti a test. Si tratta di ricognizione, scansione, sfruttamento, installazione di una backdoor e anti-tracciamento.
La prima fase è la ricognizione, ovvero la raccolta di informazioni sul sistema sottoposto a test. Come nella sua controparte militare, il termine ricognizione nei test di penetrazione significa che il tester deve avventurarsi nella rete e rilevare porte aperte, indirizzi di rete e pagine di accesso utili per un attacco. Mappando la rete e le sue risorse, il tester può decidere quali exploit utilizzare nel test.
Il tester esegue quindi una scansione della rete alla ricerca di vulnerabilità. Un buon pen tester è in grado di individuare vulnerabilità zero-day. Zero-day significa che il fornitore non ha avuto tempo per correggere il sistema dal momento della scoperta della vulnerabilità. Gli hacker criminali possono continuare a sfruttare la vulnerabilità fino a quando non viene rilasciata la patch.
Il tester sceglie gli exploit, tra cui malware, per sfruttare il sistema. Lascia una backdoor nella rete per mantenerla aperta per attacchi futuri. Infine, il pen tester impedisce il rilevamento rimuovendo i log di sicurezza e cancellando gli indicatori di compromissione.
Cosa possono fare le organizzazioni con i risultati di un test di penetrazione?
Un'organizzazione può apprendere le vulnerabilità dal rapporto finale del tester e elaborare un piano per porvi rimedio. Il pen tester riprova quindi i difetti per confermare che tutte le vulnerabilità siano state risolte. I pen test avvantaggiano le aziende mitigando i rischi. Le organizzazioni possono testare e riparare le vulnerabilità principali, come i controlli di accesso non funzionanti. L'azienda acquisisce consapevolezza della propria posizione di sicurezza attraverso i pen test. Può portare sicurezza alla superficie di attacco e mantenerla allineata con la posizione desiderata dall'organizzazione. Le organizzazioni possono anche utilizzare i pen test per garantire la conformità con i mandati industriali e normativi. Testando le vulnerabilità, l'azienda può applicare patch e utilizzare controlli per raggiungere e mantenere la conformità.
L'azienda trae vantaggio dai rapporti dei test di penetrazione vedendo e risolvendo prima le vulnerabilità ad alto rischio. I rapporti possono essere utilizzati come prova di conformità agli audit. Gli analisti della sicurezza possono utilizzare il rapporto per concentrare i propri sforzi sulle vulnerabilità che portano al fallimento degli audit di conformità.
L'azienda dovrebbe definire l'ambito del test di penetrazione, comprese le aree da testare, quelle da evitare e i tipi di vulnerabilità da identificare. Concentrandosi su sistemi, software e configurazioni ad alto rischio, l'organizzazione può individuare e correggere le vulnerabilità prioritarie rispettando il budget.
MDR di fiducia
Ottenete una copertura end-to-end affidabile e una maggiore tranquillità con Singularity MDR di SentinelOne.
ContattateciTipi di test di penetrazione
Test di penetrazione dei servizi di rete
La penetrazione dei servizi di rete identifica le vulnerabilità e i punti deboli più critici di una rete. Il test include prove interne ed esterne. Verifiche i componenti di rete. Verifica anche gli endpoint e la periferia della rete.
I dispositivi dell'infrastruttura di rete includono:
- Firewall
- Switch
- Router
Il test consente alle aziende di correggere le vulnerabilità e difendersi dagli attacchi comuni basati sulla rete, come gli attacchi Distributed Denial of Service (DDoS).
Test di penetrazione delle applicazioni web
Il test di penetrazione delle applicazioni web individua le vulnerabilità nelle applicazioni basate sul web e nei browser. Gli attacchi alle applicazioni tramite browser vulnerabili sono comuni, come i bot che attaccano JavaScript sulle pagine di e-commerce.
I test delle applicazioni web offrono vantaggi alle organizzazioni accelerando la correzione delle lacune nella sicurezza delle applicazioni web. I test di penetrazione e l'applicazione di patch rendono le applicazioni web più resilienti. Le applicazioni web sicure mantengono la continuità operativa, ad esempio quando la produttività degli utenti continua senza interruzioni perché le violazioni e le interruzioni sono ridotte al minimo. Il pen testing delle applicazioni web identifica le vulnerabilità nel browser in JavaScript, in modo che i team di sicurezza possano rafforzare le applicazioni contro i difetti del browser.
Penetration testing fisico
Il penetration testing fisico comporta un attacco simulato ai locali di un'organizzazione. Il test di penetrazione fisica misura la sicurezza fisica che protegge le aree riservate. Verifica i controlli di sicurezza fisica che impediscono a un aggressore di ottenere un accesso non autorizzato. Il test di penetrazione fisica utilizza tecniche di ingegneria sociale, come l'impersonificazione del supporto tecnico o di altri dipendenti per ottenere l'accesso senza un'adeguata autorizzazione o credenziali.
Test di penetrazione con ingegneria sociale
I tester di penetrazione di ingegneria sociale approfittano della fiducia che i dipendenti ripongono nelle persone. I tester possono ingannare i dipendenti con una scusa per indurli a divulgare dati sensibili o a concedere loro l'accesso a sistemi e software.
Test di penetrazione nel cloud
Sebbene i fornitori di servizi cloud proteggano le loro offerte, il cliente è responsabile della protezione dei propri dati e delle proprie applicazioni nel cloud. I test di penetrazione nel cloud includono test di forza bruta delle credenziali Internet che un cliente potrebbe non pensare di aggiornare. Ma è responsabilità del cliente farlo.
Test di penetrazione IoT
Il test di penetrazione IoT esamina l'inventario completo dei dispositivi IoT di un cliente alla ricerca di vulnerabilità tipiche quali credenziali deboli o predefinite, protocolli di comunicazione legacy e mancanza di patch di sicurezza. I pen tester possono eseguire test di sicurezza wireless per individuare protocolli deboli. Possono verificare la presenza di patch per vulnerabilità note e tentare di ottenere un accesso non autorizzato.
Vantaggi dei test di penetrazione
I test di penetrazione proteggono l'organizzazione da attacchi informatici, fughe di dati e non conformità con i numerosi requisiti normativi e di settore. Le organizzazioni sono soggette ad audit e devono conformarsi a numerose normative nazionali e internazionali, tra cui il GDPR, la ISO 27001 e la PCI DSS. Altre normative includono l'HIPAA/HITRUST.
L'azienda desidera mantenere la fiducia dei consumatori. Le tecnologie affidabili che non subiscono violazioni tendono a fidelizzare i clienti, mentre le violazioni tendono ad allontanarli. I test di penetrazione supportano la continuità aziendale, poiché riducono le sorprese legate ai tempi di inattività causati dalle violazioni e alle indagini sulle violazioni che distolgono il capitale umano dai compiti principali.
Conclusione
Un test di penetrazione è una componente essenziale per mantenere la sicurezza e la conformità. Il test di penetrazione valuta la superficie di attacco dell'organizzazione per individuare vulnerabilità ad alto rischio nelle applicazioni critiche. L'azienda può utilizzare i rapporti dei test di penetrazione per correggere le vulnerabilità prioritarie, mitigare i rischi per la sicurezza e prepararsi alle verifiche di conformità.
FAQs
Una scansione delle vulnerabilità esegue automaticamente la scansione della rete, delle porte di rete e degli indirizzi IP alla ricerca di vulnerabilità. Il test di penetrazione utilizza scansioni manuali e altri metodi per individuare le vulnerabilità e sfruttarle.
I penetration tester penetrano nelle aree definite dal cliente con una serie approvata di exploit, alla ricerca di vulnerabilità specifiche. I penetration tester testano le politiche di sicurezza dell'organizzazione, sviluppano contromisure e implementano soluzioni difensive ai problemi di sicurezza.
Il test di penetrazione è un'attività manuale guidata da un professionista proattivo che individua le aree interessanti da indagare ulteriormente per individuare le vulnerabilità e il modo in cui violarle. Un test automatizzato non si discosta da un elenco prestabilito di attività da svolgere.
