Penetration test: quando e perché effettuarlo

()

Che cosa è, come si esegue e perchè è importante condurlo

Il Penetration Test è un’analisi volta a valutare la resistenza dei sistemi informatici, dei software o delle reti, agli attacchi informatici. Il termine nacque durante gli anni settanta, quando le prime squadre di hacker furono assoldate dai Governi per tentare di infrangere i sistemi informatici e, quindi, valutare la presenza di debolezze e falle di sicurezza.

Chi svolgeva questa attività era chiamato “penetration tester” oppure “auditor” anche se, oggi tale figura professionale viene riconosciuta come “ethical hacker”. Oggi questa attività svolge un ruolo molto importante per organizzazioni e aziende perché le aiuta a individuare tutte le debolezze e le falle sistemiche a cui far fronte per proteggere database e sistemi.

Cos’è il Pen Test

Il penetration test, meglio noto come Pen Test, è l’analisi di valutazione della resilienza agli attacchi di un sistema informatico. È un’attività che viene svolta da professionisti ad hoc che, grossomodo, si comportano come farebbe un malintenzionato dinanzi ad un sistema da violare.

Il Pen Test, quindi, serve a scovare le debolezze di un sistema aziendale e a valutare la qualità delle difese poste in essere. Il termine identifica proprio il livello di profondità al quale l’hacker etico è in grado di arrivare attraverso falle del sistema e misure di sicurezza facili da violare.

Dopo la valutazione della sicurezza il test prevede anche un piano di soluzioni tecniche che andrebbero messe in atto per ridurre i punti di debolezza del sistema.

Come si esegue

Il Pen Test prevede un’analisi preliminare durante la quale si passa in rassegna tutte le vulnerabilità del sistema. Durante la valutazione vengono prese in esame tutte le falle ma anche i punti di forza in modo tale da elaborare un giudizio complessivo molto dettagliato.

Questa fase ha una finalità consulenziale, nel senso che serve per acquisire informazioni sull’azienda o sull’organizzazione attraverso una ricostruzione di obiettivi, valore dei dati da proteggere, eventuali test eseguiti in passato e così via.

Successivamente l’azienda che si occupa della verifica dei sistemi richiede i dati per lo svolgimento del test, come indirizzi IP, password e WhoIs, in modo tale da poter eseguire la simulazione senza intoppi.

Il test viene eseguito attraverso la scansione del sistema informatico da analizzare e mediante l’uso di programmi capaci di sfruttare le vulnerabilità e raccogliere le informazioni ottenute.

Al termine del test verrà prodotto un Report, ovvero una documentazione nella quale sono riportati gli esiti della valutazione, le misure da attuare e le problematiche di sicurezza del sistema informatico analizzato.

Per effettuare queste procedure di controllo dei sistemi informatici occorre affidarsi ad aziende che abbiano dimestichezza con tutti gli aspetti della cyber security. Soter IT Security si occupa di diversi servizi legati alla sicurezza Informatica per il controllo e la verifica delle infrastrutture informatiche delle aziende, tra cui anche il penetration test.

Il team è formato da esperti del settore che hanno ottenuto diverse certificazioni a livello nazionale e internazionale. La grande esperienza maturata nel corso degli anni ha permesso di sviluppare una metodologia in grado di un identificare e prevedere vulnerabilità e problematiche di sicurezza che, se non individuate per tempo, potrebbero compromettere l’intera infrastruttura informatica di una azienda.

Tipi di penetration test

Tra le varie tipologie possiamo distinguere:

  • Interni. Finalizzati ad individuare falle che potrebbero causare problemi di sicurezza dall’interno, per esempio da un dipendente che decida di rubare dati o documenti.
  • Esterni. Servono a individuare i punti deboli di un sistema informatico dinanzi alla volontà di un cracker di violarlo, per l’appunto, dall’esterno.
  • Targeted Penetration Testing. Si tratta di test formativi e dimostrativi in cui si cerca di mettersi nei panni di chi vuole attaccare il sistema per individuare eventuali punti di debolezza e che hanno lo scopo di rendere più sicura l’intera infrastruttura.
  • Blind testing Pentest noti come “test ciechi” perché vengono eseguiti fornendo agli addetti solamente il nome dell’azienda da sottoporre al tentativo di violazione.
  • Double Blind penetration testing. Sono test a “doppio cieco” in cui anche il dipartimento IT del cliente è all’oscuro dell’attacco in procinto di iniziare e, quindi, serve a simulare una reale situazione di emergenza. Questo test serve anche a monitorare la reazione del dipartimento preposto e, dunque, a correggere eventuali inadempienze in caso di crisi.

Perché effettuare un Penetration test

Viste le differenti tipologie di test è chiaro che le ragioni per effettuarne uno sono molteplici. Tutte riguardano la sicurezza dei sistemi informatici ma differiscono per il target del test.

Fin qui abbiamo menzionato solamente generici sistemi aziendali ma dobbiamo specificare che questo tipo di verifiche e simulazioni può essere seguito su Network, applicazioni web, sistemi wireless, VoIP ecc… Qualsiasi sistema digitale o informatico può essere violato con finalità malevoli e, quindi, il penetration test può riguardare un intero asset aziendale oppure un server di un importante sito web.

A prescindere dall’oggetto dell’analisi il Pen Test serve a valutare il livello di adeguatezza delle difese informatiche e la qualità della resilienza di un sistema informatico. Di conseguenza aiuta aziende e organizzazioni a soddisfare tutti i requisiti di sicurezza necessari da adottare, anche rispetto alle normative vigenti.

Infine è un’attività che responsabilizza i collaboratori e che, quindi, pone tra le priorità di un’organizzazione anche quella della sicurezza. Al giorno d’oggi, infatti, la sicurezza informatica deve assumere sempre maggiore rilevanza per aziende, organizzazioni e amministrazioni. Si tratta di un aspetto cruciale, che non può di certo essere trascurato vista la progressiva e rapida digitalizzazione della società verso la quale ci stiamo dirigendo.

How useful was this post?

Click on a star to rate it!

Average rating / 5. Vote count:

No votes so far! Be the first to rate this post.

As you found this post useful...

Follow us on social media!

We are sorry that this post was not useful for you!

Let us improve this post!

Tell us how we can improve this post?