Non c’è dubbio che il Penetration test rappresenti una delle best practice per scovare i punti deboli della propria organizzazione dal punto di vista della Cyber Security.
Un penetration test è un metodo per la valutazione della sicurezza di un sistema informatico o di una rete simulando un attacco da parte di attaccanti esterni (che non hanno di norma accesso ai sistemi informatici) e/o di attaccanti interni (che hanno un qualche livello di accesso autorizzato ai sistemi).
In altre parole, un PT è un esercizio che simula un attacco reale con l’intenzione di dimostrare come un attaccante malintenzionato potrebbe eludere le difese della nostra organizzazione e sfruttare le vulnerabilità per accedere ai dati o prendere il controllo del sistema.
Exploitation
- questa è la prima fase del Penetration Test. Dove, sulla base dei risultati ottenuti, a seguito di Vulnerablity Assessment e Network Scan, l’attività si concentra nello stabilire un accesso al sistema, aggirando gli eventuali controlli di sicurezza presenti.
Post Exploitation
- nella fase di post exploitation si valuta il valore dell’asset che si è riusciti a compromettere.
- Si utilizza uno script (codice malevolo) con lo scopo di impossessarsi del dispositivo con la possibilità di utilizzo con privilegi di sistema o amministratore.
Reporting
- al termine dell’attività di Penetration Test (PT) il cliente riceverà report strutturati affinché sia chiaro quali azioni sono state intraprese, con quali motivazioni e con quali risultati.
Di seguito tutti gli standard di riferimento che aiutano a comprendere un Penetration Test
- CWE: il sistema Common Weakness Enumeration (CWE) è una lista formale delle tipologie di debolezze che affliggono il software, le debolezze delle architetture, della progettazione.
- CVE: il Common Vulnerabilities and Exposures (CVE) è un dizionario che fornisce le definizioni di vulnerabilità note e di cattive condizioni di software.
- CVSS Il Common Vulnerability Scoring System (CVSS) è uno standard di settore libero e aperto per la valutazione della gravità delle vulnerabilità della sicurezza del sistema informatico. Il CVSS tenta di assegnare punteggi che misurino la gravità delle vulnerabilità dando input alle organizzazioni di come reagire e fare prevenzione.
Avere un sistema per la valutazione dei rischi farà risparmiare tempo ed eliminerà la discussione sulle priorità. Questo sistema contribuisce a garantire che l’attività non venga distratta da rischi minori, ignorando i rischi più gravi che sono meno ben compresi.
Quando è necessario effettuare un PT?
L’azienda ha libertà di scelta se svolgere un Penetration Test a seguito di un’attività di Vulnerability Assessment.e Network Scan.
Tuttavia, l’attività in essere è invasiva, costosa e dispendiosa per tutti i soggetti in causa, quindi ci teniamo a consigliarla prioritariamente se occorre almeno uno dei seguenti casi:
- Adempimento di una normativa nazionale e/o europea cui il cliente ha obbligato di rispettare;
- A seguito di una violazione delle informazioni subita (p.e. Data breach);
- A seguito di una scoperta di una vulnerabilità di uno strumento essenziale per l’attività del cliente che può minare la sicurezza dell’intero sistema.