L’importanza del Pen Test

I dati parlano chiaro, secondo l’ultimo rapporto Clusit, nel primo semestre 2023 in Italia è stata registrata una crescita degli incidenti informatici del 40%. Al momento il cyberbercrime è la tipologia di attacco più nota e usata: come “crimine informatico” viene indicata quella macro categoria di attacchi che sfruttano hardware e/o software per crimini condotti per ottenere guadagni economici, rubare dati e informazioni, creare caos e danneggiare su commissione le aziende. 

Il cybercrime è un fenomeno in continua espansione a livello globale, gli analisti stimano che nei prossimi due anni i danni causati da questi attacchi raggiungeranno i 10 trilioni di dollari. I cracker (criminal hacker) che conducono questi attacchi utilizzano principalmente phishing, malware, gli exploit di vulnerabilità e le debolezze dell’infrastruttura informatica.

Queste ultime rappresentano pericolose minacce sfruttate per ottenere l’accesso non autorizzato a un sistema informativo e richiedono particolari procedure per essere individuate.

Nell’articolo pubblicato la scorsa settimana (lo potete leggere a questo link), abbiamo descritto le procedure di Vulnerability Assessment, fondamentali per individuare le debolezze di un sistema informativo. Altrettanto importante è il Penetration Test, ovvero la verifica finale per dimostrare che l’infrastruttura non presenti più criticità. 

Una pratica fondamentale

Diversamente dal Vulnerability Assessment (il cui scopo è di identificare le falle di sicurezza) il Pen Test è un’azione invasiva in cui viene simulato un attacco informatico verso un determinato obiettivo per testarne le difese e verificare che le operazioni di correzione delle criticità abbiano avuto successo.  

Insieme al Vulnerability Assessment il Pen Test è parte di quelle procedure di “vulnerability management” che hanno lo scopo di identificare e classificare le minacce, rimediare alle criticità e mitigare gli attacchi.

Proprio per questo motivo Hypergrid, da anni specializzata in attività di Network Vulnerability Assessment propone ai vecchi e ai nuovi clienti il 20% di sconto sul costo delle procedure per gli ordini eseguiti entro il 31 dicembre 2023. Anche in questo caso la procedura si basa su una serie di test che possono essere concordati con il cliente in modo da soddisfare completamente le sue reali necessità.

Cos’è il Pen Test?

Il Penetration Test è una vera e propria simulazione di un attacco informatico, condotta da esperti di sicurezza, che ha lo scopo di valutare la vulnerabilità di un sistema, di una rete o di una applicazione. Il Pen Test si basa su una serie di tecniche e strumenti che mirano a individuare e sfruttare le possibili falle di sicurezza, al fine di evidenziare i rischi e suggerire le contromisure da adottare.

Il Penetration Test è costituito da una serie di procedure che partono dalle raccolta delle informazioni, definiscono il threat modeling (identificazione e classificazione delle minacce). Viene poi eseguita la vulnerability analysis (analisi delle vulnerabilità, valutandone il rischio e fornendo le necessarie contromisure). 

Infine, viene eseguita la fase di Exploitation in cui l’attività si concentra nello stabilire un accesso al sistema, aggirando i controlli di sicurezza presenti. 

Se l’attacco ha successo viene valutato il valore dell’asset compromesso e infine viene preparato report con le azioni intraprese, i risultati finali e le soluzioni per porre rimedio alle criticità individuate.

Come per il Vulnerability Assestment, il Pen Test può essere essere eseguito in diversi modi: nel white box gli esperti di sicurezza hanno informazioni sul sistema da testare, mentre nel black box no. Quest’ultimo è consigliato per testare al meglio la sicurezza dell’infrastruttura, poiché gli esperti non dispongono di nessuna informazione e devono scoprire tutto da soli, come farebbe un vero hacker.

In definitiva

Il Pen Test è una pratica fondamentale per garantire la sicurezza informatica e per prevenire le conseguenze negative di un eventuale attacco, come la perdita di dati, la violazione della privacy, il danneggiamento del sistema e la diffusione di malware (con  ricatto o estorsione). Proprio per questo motivo deve essere eseguito da personale qualificato e autorizzato, che agisce nel rispetto delle leggi e delle regole etiche, e deve essere documentato in un report che riporti le fasi e i risultati ottenuti.

Si tratta di una procedura da fare eseguire ad aziende esperte di cybersicurezza come Hypergrid. Ricordiamo che il Pen Test deve essere autorizzato dal proprietario o dal responsabile del sistema da testare, che deve fornire il consenso scritto e le condizioni del test e i suoi eventuali limiti. E che l’azienda di cybersicurezza che lo esegue deve rispettare le norme etiche e deontologiche della professione, come la confidenzialità, la non divulgazione, la non alterazione e la non distruzione dei dati e dei sistemi testati.

L’importanza del report

Il report finale viene spesso sottovalutato e passa in secondo piano rispetto ai risultati ottenuti, mentre invece rappresenta un documento fondamentale per dimostrare la correttezza e la validità del test, per fornire prova delle vulnerabilità e come indicazione per le soluzioni e le migliorie da apportare come contromisura agli attacchi.

Solitamente il report è suddiviso sezioni che comprendono la parte tecnica in cui vengono presentate le informazioni dettagliate sul test, come le metodologie usate, gli strumenti, le tecniche, le prove e le analisi effettuate (destinato agli esperti di sicurezza e ai tecnici del sistema testato). E una sezione che contiene le informazioni sintetiche sul test, come gli obiettivi, le priorità e le raccomandazioni per risolvere le eventuali criticità (destinato ai manager, ai dirigenti e ai responsabili del sistema testato).

Per approfittare dell’offerta o per richiedere informazioni e un preventivo clicca questo link: Offerta Vulnerability Assessment e Pen Test