4 Passaggi per Condurre un Test di Penetrazione di Rete di Successo

Ma soprattutto, il film mette in luce l'importanza e le lezioni legate a diversi concetti del penetration testing. 

Penetration Test: Per prendere un ladro, bisogna pensare come un ladro

Tecnicamente, Frank non era un hacker, ma il suo genio nello scoprire ed esploitare le falle dei sistemi richiama da vicino l'approccio utilizzato sia dagli hacker etici sia da quelli malevoli. 

Inoltre, la battaglia di ingegno tra Frank e l'agente dell'FBI che lo inseguiva, Carl Hanratty, richiama il gioco del gatto e del topo tra gli attori malevoli e i professionisti della sicurezza informatica incaricati di difendere le nostre fortezze digitali. 

Il penetration test simula i processi e i metodi che un hacker utilizza o potrebbe utilizzare per compromettere un sistema. Proprio come l'agente Hanratty, gli hacker etici devono anticipare e pensare secondo gli stessi schemi subdoli seguiti dai malintenzionati. 

Se gli hacker etici giocano un ruolo fondamentale nel penetration test della rete, anche gli strumenti che utilizzano sono altrettanto importanti. Se utilizzi Jira per la gestione dei progetti, potresti trovare utile la nostra guida su strumenti di test management per Jira per ottimizzare le tue attività di ethical hacking.

Penetration Test: La miglior offesa è sempre una forte difesa

Frank alla fine trovò la redenzione diventando una delle più autorevoli figure in materia di criminalità informatica, truffe, falsificazione e documenti sicuri. Impiegò la sua esperienza accumulata nel crimine per aiutare le banche a identificare le vulnerabilità nei loro sistemi.

Il penetration test di rete mira a raggiungere lo stesso obiettivo: chiudere le vulnerabilità di sicurezza per aiutare le organizzazioni a proteggere i dati sensibili. Gli hacker etici e l'ethical hacking svolgono quindi un ruolo fondamentale nell'attuale panorama della cybersecurity.

Ma coloro che oggi difendono le informazioni nella nostra era digitale si trovano ad affrontare un ambiente in cui l'equilibrio del potere è a sfavore di chi difende.

"Per proteggere l'infrastruttura IT affidata a loro, gli esperti di cybersecurity devono avere sempre ragione. Un hacker, invece, deve aver ragione solo una volta."

Questa difficoltà nel giocare in difesa è aggravata dalla carenza di professionisti IT con le competenze e l'esperienza adeguate. Secondo Forbes, negli Stati Uniti ci sono ben 465.000 posizioni vacanti in ambito cybersecurity.

Il penetration test della rete è, perlomeno, un passo nella giusta direzione. 

Questo articolo tratterà i seguenti argomenti:

• Cos'è un Penetration Test di Rete?
• Tipi di Penetration Test di Rete
• Chi è Tipicamente Responsabile della Conduzione di un Penetration Test?
• Guida in 4 Passi per Svolgere un Penetration Test di Successo
  • Passo 1: Raccolta delle informazioni e determinazione dell'ambito
  • Passo 2: Ricognizione e scoperta
  • Passo 3: Sfruttamento, esecuzione ed escalation
  • Passo 4: Reportistica e attività correttive

Cos'è un Penetration Test di Rete?

Un penetration test di rete (detto anche pen test) mira a identificare le vulnerabilità in un sistema software simulando un attacco informatico. Questo attacco simulato serve anche a testare la resilienza della sicurezza informatica di un'organizzazione, valutando la sua capacità di resistere a una violazione o compromissione.

Per raggiungere questo obiettivo, gli hacker etici (white hat) impiegano intenzionalmente i metodi e le tecniche utilizzate dagli agenti malevoli. In questo caso, però, lo scopo è scoprire e successivamente correggere i punti deboli o le vulnerabilità nel profilo di sicurezza del sistema.

Sebbene l'obiettivo sia compromettere un sistema, gli hacker etici devono disporre di un accesso lecito e autorizzato. Pertanto, un pentester deve avere un mandato documentato o un'autorizzazione formale dall'organizzazione per poter procedere alle attività di ethical hacking. 

Alla fine, i risultati permettono ai professionisti della rete e della cybersicurezza di fornire raccomandazioni che miglioreranno la rete e la sicurezza generale dell’organizzazione contro futuri attacchi.

Oltre alle valutazioni a livello di rete, il pen-testing comprende anche test a livello di applicazione, insieme a vettori di accesso remoto come le connessioni VPN. 

Un pen test ha tipicamente due obiettivi principali:

1. Stabilire se hacker malevoli possano ottenere accesso non autorizzato a un sistema, in che modo potrebbero aggirare le difese di sicurezza per raggiungere tale scopo e il conseguente impatto di tali attività su log di sistema, file, dati dei clienti e/o proprietà intellettuale.
2. Verificare se siano presenti misure e controlli di sicurezza come la gestione delle vulnerabilità, per rafforzare la sicurezza dell’infrastruttura IT. 

Un pen test è un modo eccellente per apprendere e comprendere la posizione di rischio di un’azienda. Permette a un’organizzazione di verificare se i propri asset digitali possano essere compromessi, e, in tal caso, di classificare successivamente i rischi posti dalle minacce alla cybersicurezza globale. 

Ecco alcuni dei benefici aggiuntivi della conduzione di un penetration test:

• Prevenire il verificarsi di violazioni della rete e dei dati
• Comprendere e stabilire la baseline della rete
• Testare controlli e componenti di sicurezza
• Salvaguardare la sicurezza di sistema e della rete

JOIN THE COMMUNITY

Upgrade your inbox with more tech leadership wisdom for delivering better software and systems.

Sign up with:

LinkedInGoogleMicrosoft

Or sign up with email:

Instagram

This field is for validation purposes and should be left unchanged.

Name*

First name Last name

Business email*

This field is hidden when viewing the form

Free Account Module

Bottom BarLanding PageFooterInlinePop UpSidebarSSO

LinkedIn profile

Seniority*

Select an optionExecutive / C-suiteVPDirectorManagerIndividual ContributorOther

Company's AI adoption maturity*

Select an optionExploring opportunitiesRunning pilotsScaling adoptionEmbedded in the business model

Tipi di Network Penetration Testing

Esistono diversi modi per approcciare il penetration testing. In termini di valutazione dell’infrastruttura di sicurezza complessiva di un’organizzazione, si può procedere da due prospettive, ovvero mediante metodi interni o esterni. 

1. Test di penetrazione della rete interna: Questo test aiuta a valutare i danni che gli attaccanti possono causare quando riescono inizialmente a entrare nella rete. Lo scopo dei test interni è sia di simulare minacce interne nel perimetro aziendale, sia di valutare l’entità delle azioni malevole o involontarie che portano al compromesso degli asset informativi.
2. Test di penetrazione della rete esterna: Questi test verificano l’efficacia delle difese perimetrali della rete. Mettono alla prova la capacità dei controlli di sicurezza esterni sia di rilevare che di prevenire gli attacchi. 

Un altro tipo di approccio utilizzato per classificare il penetration testing si basa sul grado di informazioni fornite e sul livello di conoscenza disponibile per il tester. 

• White box testing: È l’approccio di test più preciso perché consente ai tester di verificare e ispezionare il funzionamento più interno di un sistema. Pertanto, agli hacker white box viene fornita la maggior quantità possibile di informazioni sul sistema.   
• Black box testing: In questo caso, l’hacker etico parte con un livello minimo di conoscenza. Questo tipo di test viene utilizzato per simulare attacchi brute-force poiché l’hacker non è a conoscenza della complessità del funzionamento interno dell’infrastruttura presa di mira.
• Gray box testing: Questo è un compromesso tra i due estremi. La squadra di test dispone quindi di una conoscenza parziale del sistema. 

I penetration test possono anche essere classificati in base ai loro componenti e vettori di attacco.

• Ingegneria sociale: Questa è incentrata sulle persone e rappresenta quindi uno degli anelli deboli nella cybersicurezza di un’azienda. Viene comunemente perpetrata tramite attacchi di phishing via e-mail. 
• Test dell’infrastruttura di rete: Questo test interroga la rete alla ricerca di lacune e vulnerabilità che possono essere sfruttate attraverso punti di accesso sia interni che esterni. Tipicamente prendono di mira aree della rete come il superamento dei firewall, l’inganno degli IPS e attacchi a livello DNS.
• Test delle reti wireless: Questo test sfrutta reti wireless non protette, mettendo in evidenza le vulnerabilità e valutando i potenziali danni che potrebbero essere causati. 
• Test di sicurezza delle applicazioni web: Mira alle falle nella logica dell’applicazione e nella gestione delle sessioni per eseguire exploit come attacchi di SQL injection.

Chi è tipicamente responsabile della conduzione di un penetration test?

I penetration test vengono eseguiti da hacker etici che hanno ricevuto l’autorizzazione a effettuare attacchi simulati sull’applicazione web o sulla sicurezza di rete di un’organizzazione. Il permesso legale è necessario poiché il pen testing viene spesso svolto da terze parti che offrono servizi di penetration testing.

I penetration tester che cercano di violare un sistema fanno parte di quello che viene chiamato il red team. Coloro che operano nel red team sono professionisti della sicurezza offensiva responsabili di testare le difese dell'organizzazione. Il red team identifica i percorsi di attacco che possono essere utilizzati per compromettere la sicurezza e mettere in evidenza le vulnerabilità, utilizzando tecniche di attacco del mondo reale.

D'altra parte, il blue team è composto da professionisti informatici che si occupano dei meccanismi di difesa della sicurezza. In pratica, difendono dall'attacco del red team e mantengono le difese interne contro le minacce di attacchi informatici. 

Guida in 4 Passi per Eseguire con Successo un Penetration Test

In quanto esercizio sistematico, un penetration test richiede metodologie e framework standardizzati per essere condotto in modo efficace. Il penetration testing segue solitamente metodi collaudati per affrontare la presenza di vulnerabilità reali o potenziali in un sistema applicativo.

Quattro passaggi principali sono generalmente coinvolti nell'esecuzione di un penetration test di rete di successo. 

Passo 1: Raccolta delle informazioni e definizione dello scopo

La fase di raccolta delle informazioni avviene normalmente all'inizio dell'attività di sicurezza. Tuttavia, può anche essere un processo iterativo e auto-rinforzante, che si svolge durante tutto il penetration test di rete, poiché intrusioni di successo portano a maggiori informazioni sull'obiettivo. 

In questa fase, i professionisti della sicurezza e gli esperti di testing collaborano con l'organizzazione per identificare e censire tutte le risorse di rete come firewall e altri dispositivi.  

Il processo di raccolta delle informazioni include la definizione dello scopo e la chiarificazione delle aspettative del cliente.

Ambito del Penetration Testing

Per avere successo, il penetration testing deve essere un'attività disciplinata e mirata. Questo perché potrebbe non essere praticamente o finanziariamente sostenibile esaminare l'intero perimetro di un'infrastruttura IT. Di conseguenza, una parte importante della raccolta delle informazioni consiste nel determinare lo scopo del penetration test. 

La definizione dello scopo consiste nella sommatoria di tutti i confini e perimetri di ingaggio che il team di sicurezza esplorerà durante il processo di testing. Dunque, lo scopo del test ne determina il livello di intrusione, e la definizione dello scopo è il momento in cui vengono delineati i confini di ingaggio per il penetration test.

Per motivi di tempo e per altre ragioni pratiche, alcune aree del sistema, come i dispositivi connessi, potrebbero essere escluse durante i test. 

Passo 2: Ricognizione e scoperta

Per capire come correggere le falle di sicurezza, gli ethical hacker devono svolgere una ricognizione dettagliata. Questo è particolarmente necessario nei penetration test black-box, in cui l'ethical hacker deve reperire autonomamente le informazioni per sfruttare le vulnerabilità. 

La ricognizione e la scoperta sono meccanismi esplorativi utilizzati per sorvegliare l'infrastruttura di sicurezza generale di un'organizzazione. Questa fase consente agli esperti di sicurezza di esplorare in modo furtivo le risorse e la postura di sicurezza del loro obiettivo.

Strumenti di Ricognizione Attiva

La ricognizione attiva comporta l'interazione e il sondaggio diretto del sistema target per ottenere risposte utilizzabili.

Per eseguire con successo un penetration test di rete, è fondamentale conoscere le tecniche principali e i migliori strumenti di penetration testing aziendale necessari per svolgere tale ricognizione. Ecco alcuni degli strumenti utilizzati per eseguire penetration test:

• Scansione delle porte: Questo è un metodo di ricognizione molto diffuso utilizzato per determinare le porte aperte su un sistema. La scansione delle porte consente a un Pen Tester di valutare la robustezza della sicurezza della rete e i servizi attivi su una macchina. Questo strumento rivela quali porte sono aperte e in ascolto, facilitando inoltre il fingerprinting. Il fingerprinting di una rete permette di individuare dispositivi di sicurezza come i firewall tra il mittente e l’obiettivo. Gli hacker sono particolarmente interessati alle scansioni delle porte stealth che possono passare inosservate nei file di log di sistema.
  • Esempi di strumenti per la scansione delle porte sono Nmap o Network Mapper, TCP Port Scanner, Port Authority, NetScanTools, e così via.
• Packet sniffing: Questi strumenti consentono di rilevare e osservare i pacchetti di dati che attraversano una rete. Gli strumenti di packet sniffing sono noti anche come analizzatori di pacchetti o protocolli di rete. Gli amministratori di rete li utilizzano per monitorare le proprie reti, rilevare pacchetti spoofati, indirizzi IP erranti e generazione sospetta di pacchetti da un singolo indirizzo IP. Tuttavia, gli hacker li usano per cercare servizi di rete vulnerabili come porte e protocolli e per mettere in atto attacchi man-in-the-middle.
  • Esempi di strumenti di packet sniffing includono Wireshark, Nmap o Network Mapper,  
• Ping sweeping: I ping sweep vengono utilizzati per identificare un intervallo di indirizzi IP associati a host attivi. Questa tecnica di scansione della rete consente di inviare ping simultaneamente a più indirizzi. Un hacker utilizza questa sonda di rete per inviare una serie di pacchetti ICMP ECHO ai server per vedere quali rispondono, permettendo così di stabilire quali sono attivi.
  • Esempi di strumenti per ping sweep includono SolarWinds IP Address Manager (IPAM), ManageEngine OpManager e PingPlotter Pro.
• Scansione delle vulnerabilità: Comprende strumenti utilizzati per individuare problemi di configurazione e altre vulnerabilità note in reti e host di rete, come la presenza di malware. Tuttavia, è importante comprendere le differenze tra penetration testing e vulnerability scanning.
  • Esempi includono Nessus, Acunetix, Nexpose e molti altri.
• Test di sicurezza delle applicazioni web: Questi strumenti sono fondamentali per testare la sicurezza delle applicazioni web in ogni fase e individuare vulnerabilità nelle loro configurazioni. Si ricorre a metodi come l’analisi statica e dinamica per identificare vulnerabilità nel codice software delle applicazioni.
  • Piattaforme integrate come Burp Suite includono diverse applicazioni per il test e la sicurezza delle applicazioni web con strumenti come scanner avanzati delle applicazioni web, proxy di intercettazione, strumenti di intrusione e sequencer. 
• Social engineering e interrogazioni su Internet: Gli attacchi di social engineering vengono utilizzati principalmente per ottenere l’accesso furtivo ai sistemi informatici inducendo gli utenti a fornire le proprie credenziali di accesso. 

La fase di discovery è la conseguenza logica di una ricognizione efficace. Quando si scopre e si identifica un varco nella rete, si passa all’azione per sfruttare quei rischi di sicurezza. 

More Articles

• Come Monitorare Efficacemente le Prestazioni del Server

Fase 3: Sfruttamento, esecuzione ed escalation

La fase successiva del penetration testing è lo sfruttamento effettivo delle vulnerabilità individuate nei sistemi di sicurezza informatica durante la ricognizione. L’obiettivo di questa fase è vedere fino a che punto un ethical hacker riesce a penetrare nel sistema senza essere rilevato. 

Questi attacchi simulati si svolgono in un ambiente controllato, dove il tester sceglie il vettore di attacco più semplice o l’exploit più critico sulla base delle informazioni raccolte in fase di ricognizione. Alcuni di questi attacchi comprendono SQL injection, cross-site scripting, buffer overflow, escalation dei privilegi e altro ancora.

Il framework più utilizzato per configurare l’exploit da colpire e il payload da usare in questa fase è Metasploit. 

Quando l’attaccante ottiene un punto d’appoggio all’interno del sistema, può spostarsi lateralmente e andare più a fondo per compromettere altri asset come macchine Linux o Windows vulnerabili. 

Fase 4: Report e remediation

Dopo la conclusione del test di penetrazione, il tester o i tester dovrebbero compilare un report dei risultati per l’organizzazione. Il report dovrebbe includere dettagli sul processo, le vulnerabilità scoperte, le evidenze raccolte e raccomandazioni per la risoluzione.

La risoluzione implica il fondamentale processo di chiusura delle lacune nella sicurezza rilevate durante il test. Questo dovrebbe avviare un confronto approfondito sui modi più efficaci per porre rimedio a ciascuna delle vulnerabilità individuate.

La risoluzione può comprendere un’ampia gamma di azioni, come ad esempio:

• Applicare patch e aggiornamenti software
• Implementare modifiche alla configurazione o alle operazioni
• Sviluppare e introdurre nuove misure, procedure e strumenti di sicurezza

Rinforza la tua rete con il penetration testing

L’obiettivo del penetration testing è rendere la tua rete e il tuo sistema di sicurezza delle informazioni più sicuri, permettendo ai consulenti di sicurezza di sondarne e valutarne l’efficacia. Una volta che queste debolezze sono state messe in luce, spetta all’organizzazione mitigare i rischi identificati. 

Iscriviti alla newsletter The QA Lead per saperne di più sui test end-to-end pensati per la scalabilità.

Contenuti correlati:

• 5 FASI PRINCIPALI DEL PROCESSO DI GESTIONE DELLE VULNERABILITÀ
• COS’È ZEPHYR SCALE?

Da non perdere:

• QUALITY ENGINEERING MODERNA: COME RIDEFINIRE LA STRATEGIA DI QUALITÀ PER I FRAMEWORK AGILI
• COS’È TESTGEAR? PANORAMICA E TOUR DELLE FUNZIONALITÀ

Altri strumenti utili:

• I MIGLIORI SQL EDITOR E COME SCEGLIERE QUELLO GIUSTO
• SOFTWARE DI SCANSIONE DELLE VULNERABILITÀ USATI DAI QA
• COME AUTOMATIZZARE IL TESTING DELLE APPLICAZIONI MOBILI
• STRUMENTI DI PENETRATION TESTING PER APPLICAZIONI WEB
• STRUMENTI DI PENETRATION TESTING PER QA