Penetration test: definizione

In breve

Se il vulnerability assessment fa l'elenco delle porte che sembrano aperte, il penetration test prova ad aprirle. Non si ferma alla vulnerabilità: la sfrutta, la combina con altre e documenta il percorso, per esempio "da un modulo di contatto del sito fino al database clienti". È un'attività in buona parte manuale, a tempo determinato, che si conclude con un report.

Come funziona

Prima di tutto si definiscono per iscritto il perimetro (quali sistemi, quali indirizzi, quali applicazioni), le regole di ingaggio (orari, tecniche escluse, contatti di emergenza) e l'autorizzazione del committente: senza questi elementi un test non è un test, è un accesso abusivo.

Secondo quante informazioni riceve il tester si parla di black box (nessuna, come un attaccante esterno), grey box (per esempio un'utenza standard) e white box (documentazione e codice). Le fasi tipiche sono raccolta di informazioni, enumerazione dei servizi, sfruttamento, attività dopo l'accesso (movimenti, escalation dei privilegi) e rapporto finale con le evidenze e le correzioni. Le metodologie di riferimento più usate sono la OWASP Web Security Testing Guide per le applicazioni web, il NIST SP 800-115 e il PTES.

Perché è importante

Il penetration test misura l'effetto combinato di vulnerabilità, errori di configurazione e scelte di progetto che uno scanner vede separatamente. È utile prima di mettere in produzione un'applicazione critica, dopo cambiamenti importanti dell'infrastruttura e quando un cliente o una norma lo chiedono: nel settore finanziario, per esempio, il regolamento DORA prevede per alcune entità test avanzati basati sulle minacce (TLPT).

Ha però due limiti: è una fotografia di un momento e copre solo il perimetro concordato. Non sostituisce un controllo continuo, lo completa. Le differenze sono spiegate nella guida vulnerability assessment e penetration test a confronto.

Esempio

Un'azienda che vende online commissiona un test grey box sul proprio portale clienti. Il tester, entrato con un account di prova, nota che il numero d'ordine compare nell'indirizzo della pagina. Cambiandolo, riesce a vedere gli ordini di altri clienti, con nome, indirizzo e telefono. Nessuno scanner lo aveva segnalato: tecnicamente la pagina funzionava. Il report documenta il percorso e la correzione (controllare lato server che l'ordine appartenga all'utente), e l'azienda evita un data breach.

Termini collegati

• Vulnerability assessment
• Attack Surface Management
• MITRE ATT&CK: il catalogo di tecniche a cui i test più evoluti si ispirano
• Rischio residuo