Cos'è il test di penetrazione della rete?

L'obiettivo dei test di penetrazione della rete è quello di rivelare e identificare eventuali vulnerabilità all'interno di un'organizzazione. Ciò include una valutazione approfondita delle misure di sicurezza della rete attraverso test esterni e interni, come test delle applicazioni web e attacchi di phishing simulati.

In un test di penetrazione della rete, gli hacker etici, o red team, utilizzano strumenti e tecniche di hacking per simulare un attacco informatico al sistema informatico di un'organizzazione. L'obiettivo è quello di superare il firewall dell'organizzazione ed effettuare un accesso non autorizzato.

I test di penetrazione della rete possono includere attacchi ad applicazioni web, API, endpoint e controlli fisici. Gli attacchi simulati al sistema operativo possono rivelare eventuali lacune nella sicurezza e mostrare all'organizzazione dove sono presenti dei punti deboli.

I falsi attacchi aiutano i team addetti alla sicurezza a scoprire le vulnerabilità della sicurezza nell'infrastruttura della rete. Le minacce più comuni che possono essere simulate attraverso il test includono gli attacchi DDos (Distributed Denial-of-Service), DNS (Domain Name System), malware, phishing e SQL injection.

I tester utilizzano anche strumenti per condurre ricognizioni e automatizzare il processo di pen testing. Spesso si eseguono due tipi di test: interni ed esterni.

Test di rete interni: in un test interno, i pen tester agiscono come aggressori interni o come individui che potrebbero tentare di compiere un'azione dannosa utilizzando credenziali rubate. Lo scopo principale di questo tipo di test è quello di individuare le vulnerabilità che una persona o un dipendente potrebbero utilizzare dall'interno dell'organizzazione. Questa simulazione avviene rubando informazioni e abusando dei privilegi per accedere a dati privati o sensibili.

Test di rete esterni: i servizi di test di penetrazione della rete esterni hanno lo scopo di simulare il tentativo di accesso alla rete da parte di aggressori esterni. Questi pen tester lavorano per individuare problemi di sicurezza direttamente connessi a internet, come server, router, siti web, applicazioni e computer dei dipendenti che rappresentano rischi open source.

Un test di penetrazione della rete segue spesso quattro passaggi specifici e si conclude con un report del pen test della rete, ovvero un'analisi dettagliata dei rischi aziendali e dei loro risultati.

In questa prima fase, gli hacker etici discutono con i principali stakeholder l'obiettivo generale del test e le vulnerabilità identificate dall'organizzazione. Prima del pen test è necessario eseguire una valutazione delle vulnerabilità.

Sulla base di questa valutazione, i pen tester e gli stakeholder decidono quali test eseguire e le metriche di successo che intendono utilizzare. I tester utilizzano diversi strumenti e metodologie per eseguire i falsi attacchi, come il port scanning e il network mapping (nmap).

Per condurre i test, vengono adottati comunemente tre diversi tipi di prospettiva. A seconda dell'organizzazione, queste metodologie possono essere utilizzate singolarmente o combinate.

Test black box: un test "black box" simula l'approccio di un hacker medio, privo di conoscenza interna della rete. Questo tipo di test è un pen test esterno, poiché il suo obiettivo è quello di utilizzare le vulnerabilità della rete dall'esterno.

Test gray box: questo tipo di penetration test della rete ha un focus più interno e mira a impersonare un hacker con accesso al sistema interno, pur mantenendo alcuni aspetti di un hacker esterno. Il test gray box ha l'obiettivo di simulare un soggetto malintenzionato che, all'interno di un'organizzazione, potrebbe godere di privilegi elevati e utilizzarli in modo dannoso.

Test white box: infine, il test white box è il più intrusivo dei tre tipi di test di sicurezza. Questo test viene eseguito per impersonare uno specialista IT o una persona con accesso al codice sorgente dell'organizzazione e a tutti i dati possibili relativi al sistema. Questo test viene generalmente eseguito per ultimo per verificare l'integrità di un'architettura IT e garantire ulteriormente che eventuali hacker e attacchi informatici non possano penetrare nel sistema target.

Nella fase di ricognizione e rilevamento, i pen tester utilizzano i dati ottenuti dalla ricognizione per eseguire test dal vivo e scoprire le vulnerabilità esistenti tramite alcune tattiche, come l'ingegneria sociale. Utilizzando strumenti ingannevoli per manipolare le persone affinché condividano informazioni, i pen tester sperano di riuscire a individuare i punti deboli e iniziare ad affrontare tali vulnerabilità.

Nella fase di rilevamento, i pen tester possono utilizzare strumenti come uno scanner di porte e uno scanner di vulnerabilità. Lo scanner di porte identifica le porte aperte in un sistema in cui gli hacker potrebbero entrare, mentre uno scanner di vulnerabilità identifica le vulnerabilità esistenti in un sistema.

Il passo successivo consiste nel mettere in pratica tutto il lavoro preliminare svolto finora. In questa fase i pen tester eseguono i penetration test della rete utilizzando strumenti in grado di utilizzare script o tentare di rubare dati. Lo scopo è quello di capire quanti danni possono causare gli hacker etici e, se riescono ad accedere, determinare per quanto tempo possono rimanere all’interno del sistema.

I pen tester possono iniziare testando una vulnerabilità alla volta, ma dovrebbero eseguire test su più vulnerabilità per assicurarsi che sia stato adottato un approccio ampio per affrontare questi rischi per la sicurezza.

Il passaggio finale consiste nel documentare quali test di penetrazione della rete sono stati eseguiti, esaminare i risultati di ciascuno di tali test e discutere delle misure di correzione con il team di sicurezza delle informazioni. Il report descrive in dettaglio l'intero processo dall'inizio alla fine e identifica le vulnerabilità, le prove, i dati e le raccomandazioni per l'organizzazione.

Questo report è importante per il titolare dell'azienda per avere un quadro completo dei rischi identificati e un'analisi che lo aiuti ulteriormente a prendere decisioni informate.