Cos'è il Penetration Test?
Un penetration test, o "pen test" come è altrimenti noto, è il luogo in cui le organizzazioni eseguono attacchi informatici simulati sulle loro reti per identificare le vulnerabilità, consentendo così loro di mettere a punto le politiche di sicurezza e garantire che le patch pertinenti siano installato.
Molte normative sulla protezione dei dati come PCI DSS, HIPAA, FINRA e altre richiedono che gli enti interessati testino regolarmente le misure di sicurezza adottate. Il penetration test è il mezzo per farlo.
Come viene utilizzato il test con penna
Il pen test può essere utilizzato per testare una varietà di sistemi, funzionalità, dispositivi e applicazioni, come API (Application Programming Interface), Web Application Firewall (WAF), server DNS e siti Web. È sempre una buona idea testare rigorosamente tutti i moduli web rivolti al pubblico di cui disponi, poiché spesso accade quando gli input non sono stati adeguatamente disinfettati, il che apre la possibilità di attacchi di iniezione di codice. Il test con penna è generalmente suddiviso in cinque fasi, che includono;
Fasi del test di penetrazione
1. Pianificazione e ricognizione
Qui è dove definisci l'ambito delle tue attività di pen-test, che include la creazione di un inventario di tutti i sistemi, funzionalità, risorse e dispositivi. Include anche la definizione dei metodi di test e la definizione dei tuoi scopi e obiettivi.
2. Scansione di sicurezza dell'applicazione
Questa fase prevede l'utilizzo di strumenti di scansione delle vulnerabilità per acquisire conoscenze su come un'applicazione risponde alle minacce alla sicurezza. Esistono due tipi di scansioni di vulnerabilità, che includono; analisi statica e analisi dinamica. L'analisi statica è la scansione del codice di un'applicazione nel tentativo di identificare potenziali vulnerabilità. L'analisi dinamica è sostanzialmente la stessa, solo che la scansione viene eseguita mentre l'applicazione è in esecuzione per monitorare in tempo reale come risponde a potenziali minacce.
3. Ottenere l'accesso e sfruttare le vulnerabilità
Se riesci a trovare vulnerabilità nella tua rete, il passo successivo è provare a sfruttarle. Ciò potrebbe includere il lancio di un attacco SQL injection o di scripting cross-site, l'intercettazione del traffico, l'escalation dei privilegi e così via. È necessario garantire che tutte le vulnerabilità e gli exploit riusciti siano ben documentati.
4. Mantenimento dell'accesso
Una volta ottenuto l'accesso alla tua rete, il trucco è vedere per quanto tempo puoi mantenere l'accesso senza far suonare alcun allarme. Le minacce persistenti avanzate (ATP), come sono conosciute, possono rimanere in un sistema per mesi, facendo trapelare silenziosamente informazioni sensibili.
5. Analisi e reporting
Una volta completati i test di penetrazione, dovrai raccogliere tutti i risultati in uno o più report dettagliati. La relazione deve contenere informazioni dettagliate su;
- Le vulnerabilità riscontrate;
- Le vulnerabilità sfruttate e come sono state sfruttate;
- I sistemi, le funzionalità, le risorse e i dispositivi coinvolti;
- Il periodo di tempo in cui il pen tester è riuscito a rimanere nel sistema prima di essere notato.
Queste informazioni devono essere analizzate dal personale di sicurezza interessato per aiutarli a stabilire un piano per risolvere questi problemi, che potrebbe includere l'installazione delle patch pertinenti, la risoluzione di eventuali problemi di convalida dei moduli, la configurazione dei firewall e l'apporto di miglioramenti alle API.
Metodi di test di penetrazione
È possibile utilizzare diversi metodi di test con penna, alcuni dei quali includono;
Test esterni
È qui che il pen tester prenderà di mira server, applicazioni, siti Web e dati rivolti al pubblico. Ciò include account di posta elettronica e contenitori di archiviazione cloud.
Test interni
È qui che il pen tester assume la posizione di un dipendente doloso o negligente. Cercheranno tutti i modi possibili per aumentare i propri privilegi o esporre dati sensibili.
Test in cieco/doppio cieco
In un test cieco, il tester avrà una conoscenza limitata del sistema che dovrà attaccare. In genere, verrà loro fornito solo il nome dell'organizzazione. Con il test in doppio cieco, il team di sicurezza non riceverà alcun preavviso dell’attacco.
Test mirati
A differenza dei test alla cieca e in doppio cieco, i test mirati sono quelli in cui sia il pen tester che il team di sicurezza lavorano insieme, tenendosi reciprocamente informati su ciò che stanno facendo in modo da poter monitorare l'efficacia sia dei controlli di sicurezza che degli sforzi di pen testing.
Se desideri vedere come la piattaforma di sicurezza dei dati Lepide può aggiungere contesto e migliorare i tuoi test con penna, pianifica una demo con uno dei nostri ingegneri o inizia oggi stesso la tua prova gratuita.