Ethical Hacking & Penetration Testing
Simulo un attacco, con autorizzazione, per scoprire dove le difese cedono.
Ethical hacking significa usare le tecniche degli attaccanti con l’autorizzazione di chi possiede i sistemi, per scoprire dove sono vulnerabili e come correggerli. Sono test autorizzati e concordati in anticipo, e riguardano solo le reti e le applicazioni comprese nell’incarico.
Che tipo di verifica ti serve
Le verifiche hanno scopi diversi e si scelgono in base alla domanda a cui vuoi rispondere.
Vulnerability assessment
Cerca nei sistemi le vulnerabilità note: software non aggiornato, configurazioni errate, servizi esposti. Il risultato è un elenco ordinato per gravità. Risponde alla domanda: quali punti deboli ho?
Penetration test
Si prova a sfruttare i punti deboli come farebbe un attaccante, con tecniche manuali, per capire fin dove si può arrivare. Risponde alla domanda: cosa può fare davvero chi li sfrutta?
Analisi dell’esposizione esterna
Guarda l’azienda da Internet, come fa chi attacca: servizi raggiungibili, sistemi dimenticati, informazioni pubbliche. Risponde alla domanda: cosa si vede da fuori?
Dalla vulnerabilità alla correzione
Seguo le vulnerabilità dalla loro individuazione alla gestione degli interventi. Il lavoro comprende la valutazione delle criticità e il confronto con chi può correggerle, sia all’interno dell’azienda sia presso i fornitori.
Valutazione delle criticità
Esamino gli esiti delle verifiche in relazione ai sistemi coinvolti e al loro utilizzo, per stabilire quali problemi affrontare e quali dipendenze considerare prima di intervenire.
Coordinamento delle correzioni
Mi confronto con i responsabili dei sistemi e con i fornitori per definire gli interventi e verificarne lo stato. Riporto ai referenti aziendali le attività ancora aperte e le difficoltà che ne impediscono la chiusura.
Prima di iniziare, le attività vengono autorizzate e pianificate con i referenti aziendali. Ricevi priorità chiare e indicazioni operative.
Ambito delle verifiche
L’incarico definisce i sistemi da esaminare, gli obiettivi e le condizioni di esecuzione, compresi gli orari e ciò che non va toccato, ad esempio i sistemi di produzione più delicati. L’ambito può comprendere:
- Vulnerability assessment e verifiche periodiche
- Penetration test su reti e applicazioni web
- Analisi dell’esposizione esterna
Restituzione dei risultati
I risultati vengono discussi con i referenti coinvolti, così da collegare le evidenze agli interventi necessari. La documentazione comprende:
- Executive summaryUna sintesi per la direzione
- Report tecnicoIl dettaglio tecnico delle criticità rilevate
- Piano di remediationLe indicazioni per affrontarle
Domande frequenti
Un test può bloccare i miei sistemi?
È un rischio da tenere presente e per questo i test sono pianificati e controllati. Per i sistemi più delicati si concordano orari e modalità, oppure si decide di non testarli direttamente.
Posso testare sistemi non miei?
Solo se chi li possiede lo autorizza. Per servizi di terzi, ad esempio in cloud, può servire anche il consenso del fornitore.
Ogni quanto si ripetono?
Il vulnerability assessment ha senso come controllo periodico, perché nuove vulnerabilità vengono scoperte di continuo. Il penetration test si fa quando cambia qualcosa di importante (una nuova applicazione, una migrazione) o quando serve una verifica più approfondita.
Cosa ricevo alla fine?
Un executive summary per la direzione, un report tecnico con le criticità rilevate e un piano di remediation con le indicazioni per affrontarle.