Cos'è il Penetration Test? {Passi, metodi, tipi}

Rimuovere i punti deboli dei sistemi e delle applicazioni è una priorità della sicurezza informatica. Le aziende si affidano a varie tecniche per scoprire i difetti del software, ma nessun metodo di test fornisce un'analisi più realistica e completa di un penetration test.

Questo articolo è un'introduzione ai test di penetrazione. Continua a leggere per scoprire come funziona il pen test e come le aziende utilizzano questi test per prevenire violazioni costose e dannose.

Definizione del test di penetrazione

Il penetration testing (o pen testing) è una simulazione di un attacco informatico che verifica i punti deboli della sicurezza di un sistema informatico, di una rete o di un'applicazione. Questi test si basano su un mix di strumenti e tecniche che i veri hacker utilizzerebbero per violare un'azienda.

Altri nomi comuni per i test di penetrazione sono attacchi white hat e hacking etico.

I pen tester utilizzano in genere un mix di strumenti di test di automazione e pratiche manuali per simulare un attacco. I tester utilizzano anche strumenti di penetrazione per scansionare i sistemi e analizzare i risultati. Un buon strumento di penetration test dovrebbe:

• Essere facile da configurare e utilizzare.
• Sii veloce nella scansione del sistema.
• Ordina i punti deboli in base alla gravità.
• Automatizza la verifica dei punti deboli.
• Verifica nuovamente gli exploit passati.
• Fornire report e registri dettagliati.

L'obiettivo principale di un pen test è identificare i problemi di sicurezza all'interno di sistemi operativi, servizi, applicazioni, configurazioni e comportamento degli utenti. Questa forma di test consente a un team di scoprire:

• Vulnerabilità del sistema e difetti di sicurezza.
• Mancanza di conformità con le normative sulla privacy e sulla sicurezza dei dati (PCI, HIPAA, GDPR, ecc.)
• Mancanza di consapevolezza della sicurezza in tutto il team.
• Difetti nei protocolli di identificazione delle minacce.
• Margini di miglioramento nel piano di risposta agli incidenti.
• Errori nella politica di sicurezza.

Le aziende in genere assumono appaltatori esterni per eseguire test di penna. La mancanza di conoscenza del sistema consente a un tester di terze parti di essere più accurato e creativo rispetto agli sviluppatori interni. Alcune aziende gestiscono anche programmi di ricompensa che invitano i freelance ad hackerare i sistemi con la promessa di un compenso in caso di violazione del sistema.

Qual è il risultato finale di un Penetration Test?

Il risultato finale di un penetration test è il rapporto del pen test. Un rapporto informa i responsabili dei sistemi IT e di rete sui difetti e sfrutta il test scoperto. Un rapporto dovrebbe includere anche passaggi per risolvere i problemi e migliorare le difese del sistema.

Ogni rapporto sul test della penna dovrebbe includere:

• Un riepilogo esecutivo: il riepilogo offre una panoramica di alto livello del test. I lettori non esperti possono utilizzare il riepilogo per ottenere informazioni dettagliate sui problemi di sicurezza rilevati dal pen test.
• Strumenti, metodi e vettori: questa sezione illustra gli strumenti e i metodi alla base del test. I tester delineano inoltre i modelli di attacco passo dopo passo che hanno portato a una violazione riuscita.
• Risultati dettagliati: questa sezione elenca tutti i rischi per la sicurezza, le vulnerabilità, le minacce e le preoccupazioni scoperte dal test di penetrazione. A differenza del riepilogo esecutivo, questa parte del rapporto approfondisce i dettagli tecnici.
• Consigli: la sezione dei consigli spiega come migliorare la sicurezza e proteggere il sistema da attacchi informatici reali.

Quanto spesso dovresti eseguire i test di penetrazione?

Le aziende eseguono regolarmente test di penetrazione, in genere una volta all'anno. Oltre ai test annuali, un’azienda dovrebbe anche organizzare un pen test ogni volta che il team:

• Aggiunge una nuova infrastruttura di rete.
• Installa nuove applicazioni.
• Aggiorna o modifica in modo significativo l'infrastruttura o le applicazioni.
• Allestisce un ufficio in una nuova posizione.
• Aggiunge nuove patch di sicurezza.
• Apporta modifiche alle policy dell'utente finale.

A seconda delle dimensioni e del budget della tua azienda, eseguire un penetration test ogni volta che il team apporta una modifica potrebbe non essere realistico. In tal caso, il team dovrebbe utilizzare una combinazione di test di penetrazione e scansioni di vulnerabilità. Sebbene non siano altrettanto efficienti, le scansioni automatizzate delle vulnerabilità sono più rapide ed economiche dei test con penna.

Passaggi del test di penetrazione

Il penetration test è una pratica complessa che si compone di diverse fasi. Di seguito è riportato uno sguardo passo passo su come un pen test ispeziona un sistema di destinazione.

Ambito del test di penetrazione

Questa fase prevede la preparazione iniziale per il test. La squadra dovrebbe:

• Descrivere la logistica del test.
• Definire l'ambito del test.
• Stabilisci le aspettative.
• Fissare degli obiettivi.
• Definire i limiti di aggressività della squadra di penetrazione.
• Considera le potenziali implicazioni legali.

Ricognizione (raccolta di informazioni)

Gli hacker iniziano a conoscere il sistema e cercano potenziali punti di ingresso durante la fase di raccolta di informazioni. Questa fase richiede che il team raccolga principalmente informazioni sull'obiettivo, ma i tester possono anche scoprire punti deboli a livello di superficie.

La fase di ricognizione include la scansione di:

• Tutto l'hardware.
• Le reti locali e wireless.
• Firewall.
• Applicazioni pertinenti.
• Siti web.
• Sistemi basati su cloud.
• Comportamento e protocolli dei dipendenti.

Un altro termine comune per la fase di ricognizione è raccolta di intelligence open source (OSINT).

Modellazione delle minacce

I tester utilizzano le informazioni della fase di ricognizione per progettare minacce personalizzate per penetrare nel sistema. Il team inoltre identifica e classifica diverse risorse da testare.

Sfruttamento

I tester tentano di penetrare nel bersaglio attraverso i punti di ingresso che hanno trovato nelle fasi precedenti. Se violano il sistema, i tester tentano di elevare i propri privilegi di accesso. Lo spostamento laterale attraverso il sistema consente ai pen tester di identificare:

• Configurazioni di segmentazione della rete scadenti.
• Accesso a dati e risorse sensibili.
• Gestione debole di account e password.

Post-sfruttamento

I pen tester valutano l'entità del danno che un hacker potrebbe causare sfruttando i punti deboli del sistema. La fase post-sfruttamento richiede inoltre che i tester determinino come il team di sicurezza dovrebbe riprendersi dalla violazione del test.

Analisi, reporting e creazione di passaggi attuabili per la protezione

I tester compilano i risultati del test in un rapporto che delinea:

• La suddivisione passo passo dell'attività degli hacker.
• I punti deboli e le vulnerabilità scoperte.
• I tester dei dati sono stati in grado di raggiungere.
• Per quanto tempo i tester sono rimasti inosservati all'interno del sistema.
• Misure che l’azienda deve intraprendere per rimuovere le vulnerabilità e proteggersi da attacchi reali.

Nuovo test

Una volta che il team di sicurezza ha implementato le modifiche dal rapporto penna, il sistema è pronto per essere nuovamente testato. I tester dovrebbero eseguire gli stessi attacchi simulati per vedere se il bersaglio ora può resistere al tentativo di violazione.

Metodologie standardizzate di test di penetrazione

Le aziende in genere si affidano a uno dei cinque metodi standardizzati di test di penetrazione: OWASP, OSSTMM, ISSAF, PTES e NIST.

OWASP

OWASP (Open Web Application Security Project) è un framework per identificare le vulnerabilità delle applicazioni. Questo metodo consente a una squadra di:

• Riconoscere le vulnerabilità all'interno delle applicazioni web e mobili.
• Scopri i difetti nelle pratiche di sviluppo.

L'OWASP consente inoltre ai tester di valutare i rischi, il che fa risparmiare tempo e aiuta a stabilire la priorità dei problemi. Questo framework ha un'enorme comunità di utenti, quindi non mancano articoli, tecniche, strumenti e tecnologie OWASP.

OSSTMM

L'OSSTMM (Open-Source Security Testing Methodology Manual) si basa su una metodologia scientifica per i test di penetrazione della rete. Questo quadro sottoposto a revisione paritaria fornisce una caratterizzazione accurata della sicurezza operativa ideale per l'hacking etico.

OSSTMM consente ai pen tester di eseguire test personalizzati che si adattano alle esigenze tecnologiche e specifiche dell'organizzazione.

ISSAF

L'ISSAF (Information System Security Assessment Framework) fornisce un approccio specializzato e strutturato ai test.

Questo framework è ideale per i tester che desiderano pianificare e documentare in dettaglio ogni fase del pen test. L'ISSAF è utile anche per i tester che utilizzano strumenti diversi poiché il metodo consente di collegare ogni passaggio a uno strumento specifico.

PTES

Il PTES (Metodologie e standard di Penetration Testing) offre un approccio al test altamente strutturato in sette fasi. Questa metodologia guida i tester attraverso tutte le fasi del penetration test, dalla ricognizione e raccolta dei dati al post-sfruttamento e al reporting.

Il PTES richiede che i tester conoscano i processi dell'organizzazione per eseguire test con successo.

NIST

Il NIST (National Institute of Standards and Technology) offre precise linee guida per i test di penetrazione per migliorare la sicurezza informatica complessiva. Questo quadro è popolare nei settori ad alto rischio come quello bancario, delle comunicazioni e dell’energia.

La conformità al NIST è spesso un requisito normativo per le aziende americane. Per conformarsi al NIST, un'azienda deve eseguire test di penetrazione su applicazioni e reti.

Tipi di test di penetrazione

I test di penetrazione differiscono in termini di obiettivi, condizioni e target. A seconda della configurazione del test, l'azienda fornisce ai tester diversi livelli di informazioni sul sistema. In alcuni casi, il team di sicurezza è quello con una conoscenza limitata del test.

Test di penetrazione della scatola nera

Il team di penetrazione non dispone di informazioni sul sistema target in un test della scatola nera. Gli hacker devono trovare la propria strada nel sistema e pianificare come orchestrare una violazione.

Solitamente all'inizio del test della scatola nera i tester riportano solo il nome dell'azienda. Il team di penetrazione deve iniziare con una ricognizione dettagliata, quindi questa forma di test richiede molto tempo.

Test di penetrazione della scatola grigia

Il team di testing è a conoscenza di un utente con privilegi elevati. L'hacker sa:

• Il design e l'architettura della documentazione.
• Strutture interne.

Un test penna con scatola grigia consente al team di concentrarsi sugli obiettivi con il maggior rischio e valore fin dall'inizio. Questo tipo di test è ideale per imitare un utente malintenzionato che ha accesso a lungo termine alla rete.

Test di penetrazione della scatola bianca

I pen tester dispongono di informazioni sul sistema di destinazione prima di iniziare a lavorare. Queste informazioni possono includere:

• Indirizzi IP.
• Schemi dell'infrastruttura di rete.
• Protocolli utente.
• Artefatti di sistema (codice sorgente, binari, contenitori).

A seconda della configurazione, i tester possono anche avere accesso ai server che eseguono il sistema. Sebbene non sia autentico come il test della scatola nera, la scatola bianca è rapida ed economica da organizzare.

Test mirati

Lo staff IT dell’azienda e il team di test lavorano insieme per eseguire test mirati. I tester e il personale di sicurezza conoscono l'attività dell'altro in tutte le fasi.

Un altro termine per i test mirati è l’approccio “luci accese” poiché il test è trasparente per tutti i partecipanti.

Test esterni

I test esterni simulano un attacco a server o dispositivi visibili esternamente. Obiettivi comuni per i test esterni sono:

• Server dei nomi di dominio (DNS).
• Applicazioni web.
• Server di posta elettronica.
• Siti web.
• Server Web e applicativi.
• Firewall.

L'obiettivo dei test esterni è scoprire se un utente malintenzionato esterno può penetrare nel sistema. L'obiettivo secondario è vedere quanto lontano può arrivare l'attaccante dopo una violazione.

Test interni

I test interni imitano una minaccia interna proveniente da dietro il firewall. Il tipico punto di partenza per questo test è un utente con privilegi di accesso standard. I due scenari più comuni sono:

• Un dipendente scontento che ha deciso di danneggiare il sistema.
• Un utente malintenzionato che ha avuto accesso al sistema tramite un attacco di phishing.

I test interni sono ideali per determinare quanti danni può arrecare al sistema un dipendente malintenzionato o compromesso.

Test alla cieca

Il blind testing simula un attacco nella vita reale. Sebbene il team di sicurezza sia a conoscenza del test, il personale ha informazioni limitate sulla strategia di violazione o sull’attività del tester.

Test in doppio cieco

In una configurazione in doppio cieco, solo una o due persone all'interno dell'azienda sono a conoscenza del test imminente. I test in doppio cieco sono ideali per esaminare:

• Sistemi di monitoraggio della sicurezza.
• Protocolli di identificazione degli incidenti.
• Procedure di risposta.

Un test in doppio cieco fornisce uno sguardo autentico sulla capacità del team di sicurezza di rilevare e rispondere a un attacco nella vita reale.

Approcci ai test di penetrazione (aree di test)

Di seguito sono riportati i diversi approcci ai test di penetrazione che puoi eseguire per esaminare le difese della tua azienda.

Test e sfruttamento della penetrazione della rete

I test di penetrazione della rete imitano le tecniche di hacking per violare reti, router, switch e host.

Questa forma di test include:

• Bypassare il firewall.
• Eludere un sistema di prevenzione delle intrusioni di nuova generazione (NGIPS).
• Test di router e server proxy.
• Evasione IPS e DPS.
• Apri la scansione delle porte.
• Attacchi alla sicurezza SSH.
• Testare politiche che blocchino il movimento laterale.
• Intercettare il traffico di rete.
• Individuazione di dispositivi legacy e apparecchi di terze parti.

Questo tipo di test include lo sfruttamento della rete sia interna che esterna. I punti deboli comuni rilevati dalla penetrazione della rete sono:

• Risorse configurate in modo errato.
• Vulnerabilità specifiche del prodotto.
• Punti deboli della rete wireless.
• Servizi canaglia.
• Protocolli di password deboli.

Un attacco simulato all’infrastruttura di rete di un’azienda è il tipo più comune di pen test.

Test di sicurezza delle applicazioni Web

I test di sicurezza delle applicazioni cercano potenziali rischi nelle applicazioni lato server. I soggetti tipici di questi test sono:

• Applicazioni web.
• API.
• Connessioni.
• Quadri.
• App mobili.

Le vulnerabilità comuni delle applicazioni includono:

• Falsificazione e scripting di richieste intersito.
• Difetti di iniezione.
• Cattiva gestione della sessione.
• Riferimenti diretti a oggetti non sicuri.
• Errori di codifica.
• Protocolli di autenticazione o autorizzazione non funzionanti.
• Crittografia debole.

Lato client o sito Web e rete wireless

Questo tipo di test esamina i dispositivi e le infrastrutture wireless per individuare eventuali vulnerabilità. Un test con penna wireless rileva configurazioni di rete wireless non sicure e controlli di autenticazione inadeguati.

Questo tipo di test include la scansione di:

• Errate configurazioni del server Web.
• Strategie anti-malware e di prevenzione DDoS.
• Iniezioni SQL.
• Spoofing dell'indirizzo MAC.
• Lettori multimediali e software per la creazione di contenuti.
• Cross Site Scripting.
• Hotspot e punti di accesso.
• Protocolli di crittografia.

Attacchi di ingegneria sociale

I test di ingegneria sociale ricercano le vulnerabilità all'interno dei protocolli e dei comportamenti dei dipendenti. Essere vittima di un attacco di ingegneria sociale può portare ad accessi non autorizzati, malware, ransomware o credenziali compromesse.

I pen test di ingegneria sociale in genere imitano attacchi del mondo reale come:

• Intercettazioni.
• Tailgating.
• Attacchi di phishing.
• Spear-phishing.
• Adescamento.
• Spaventapasseri.
• Pretesto.

Test fisici

I test di penetrazione fisica tentano di ottenere l'accesso fisico alle aree aziendali. Questo tipo di test garantisce l'integrità di:

• Sistemi RFID.
• Macchine fotografiche.
• Sistemi citofonici e tastiere.
• Comportamento dei dipendenti e dei venditori.
• Sensori di movimento e di luce.

Gli hacker spesso combinano test fisici con l'ingegneria sociale per creare condizioni di attacco realistiche.

Test della penna cloud

I test di penetrazione del cloud esaminano le difese che proteggono le risorse cloud. I pen test identificano potenziali esposizioni all'interno di applicazioni, reti e configurazioni nella configurazione del cloud che potrebbero consentire agli hacker di accedere a:

• Credenziali aziendali.
• Sistemi interni.
• Dati sensibili.

Questo tipo di test è essenziale per le aziende che si affidano a soluzioni IaaS, PaaS e SaaS. Il test del cloud pen è importante anche per garantire implementazioni cloud sicure.

Una parte fondamentale di qualsiasi strategia di valutazione del rischio

I test di penetrazione consentono a un'azienda di scoprire in modo proattivo i punti deboli del sistema prima che gli hacker abbiano l'opportunità di causare danni. Esegui regolarmente attacchi simulati sui tuoi sistemi per garantire operazioni IT sicure e prevenire costose violazioni.