// Glossario IT
Penetration Test
Un attacco simulato, autorizzato e controllato, per verificare cosa riesce davvero a sfondare.
Voce curata da Luciano Blancato, IT Manager a Catania · aggiornata il
Cos'è
Un penetration test (o pen test) è una simulazione controllata di attacco informatico, condotta con autorizzazione esplicita e un perimetro concordato in anticipo (le cosiddette rules of engagement), in cui un professionista prova attivamente a sfruttare le vulnerabilità di un sistema per capire fin dove riuscirebbe ad arrivare un vero attaccante: accesso a dati sensibili, movimento laterale nella rete, escalation di privilegi fino ad amministratore di dominio. Si distingue in black box (il tester parte senza informazioni, come un attaccante esterno), grey box (con accesso limitato, tipico di un dipendente compromesso) e white box (con piena visibilità su codice e architettura). A differenza di un vulnerability assessment, non si ferma all'elenco delle falle: le sfrutta davvero, in ambiente controllato e con un piano di rollback concordato, per misurarne l'impatto reale e non solo il punteggio CVSS teorico.
Perché conta
Un elenco di vulnerabilità teoriche dice poco su quanto sia davvero rischiosa una configurazione: un pen test risponde alla domanda che conta per un'azienda, cioè "se qualcuno ci provasse sul serio, con tempo e competenze reali, cosa riuscirebbe a fare". È anche uno degli strumenti più efficaci che ho visto per convincere un consiglio di amministrazione a investire in sicurezza: un report che mostra un accesso reale ai dati clienti, magari partendo da una password debole su un account di servizio dimenticato, pesa molto più di una lista di CVE con punteggio alto. Per chi opera in settori regolati conta anche perché sempre più spesso è richiesto da clienti, assicurazioni cyber o standard come ISO 27001 come prova concreta di due diligence, non come esercizio facoltativo di sicurezza.
Come si organizza un incarico reale
In pratica un incarico si articola in fasi precise: definizione dello scope (quali IP, applicazioni, orari, cosa è esplicitamente escluso), firma delle rules of engagement, esecuzione (di solito una o due settimane), stesura del report con severità e passi di remediation, e — quello che troppe aziende saltano — un retest dopo la correzione, per verificare che la falla sia stata chiusa davvero e non solo mascherata. Per la parte applicativa web uso come riferimento metodologico la OWASP Web Security Testing Guide, che resta lo standard più solido e aggiornato per capire cosa un test serio deve coprire. Vale la pena ricordare che un pen test fotografa un momento preciso: dopo un cambio infrastrutturale importante, la foto va rifatta.
// Nota pratica
Un pen test ha senso solo dopo aver già chiuso le vulnerabilità più ovvie trovate da un vulnerability assessment: altrimenti si paga un professionista per confermare quello che uno scanner automatico avrebbe già detto a costo molto minore.
// Approfondisci