Che cos’è un test di penetrazione?
Un test di penetrazione, o “pen test”, è un test di sicurezza che lancia un attacco informatico simulato per individuare le vulnerabilità in un sistema.
I penetration tester sono professionisti della sicurezza esperti nell’arte dell’hacking etico, ovvero l’uso di strumenti e tecniche di hacking per correggere i punti deboli della sicurezza piuttosto che causare danni. Le aziende assumono dei pen tester per lanciare attacchi simulati contro le loro app, reti e altri asset. Organizzando attacchi fasulli, i pen tester aiutano i team di sicurezza a scoprire le vulnerabilità critiche e a migliorare il livello di sicurezza complessivo di un’organizzazione. I termini “hacking etico” e “test di penetrazione” sono talvolta usati in modo intercambiabile, ma c’è una differenza. L’hacking etico è un campo più ampio della cybersecurity che include qualsiasi uso delle skill di hacking per migliorare la sicurezza della rete. I test di penetrazione sono solo uno dei metodi utilizzati dagli hacker etici, che possono anche fornire analisi del malware, valutazione del rischio e altri servizi.
Perché le aziende vengono sottoposte ai pen test?
Le aziende conducono i pen test per tre motivi principali.
I pen test sono più completi delle sole valutazioni delle vulnerabilità. I test di penetrazione e le valutazioni delle vulnerabilità aiutano i team addetti alla sicurezza a identificare i punti deboli nelle app, nei dispositivi e nelle reti. Tuttavia, questi metodi servono a scopi leggermente diversi, quindi molte organizzazioni li utilizzano entrambi invece di fare affidamento sull’uno o sull’altro.
Le valutazioni delle vulnerabilità sono in genere scansioni automatiche ricorrenti che cercano vulnerabilità note in un sistema e le contrassegnano per la revisione. I team di sicurezza utilizzano le valutazioni delle vulnerabilità per verificare rapidamente i difetti comuni.
I test di penetrazione fanno un ulteriore passo avanti. Quando i pen tester trovano delle vulnerabilità, le utilizzano in attacchi simulati che imitano i comportamenti degli hacker malintenzionati. In questo modo, il team di sicurezza acquisisce una comprensione approfondita di come degli hacker reali potrebbero utilizzare le vulnerabilità per accedere a dati sensibili o interrompere le operazioni. Invece di cercare di indovinare cosa potrebbero fare gli hacker, il team di sicurezza può utilizzare queste conoscenze per progettare controlli di sicurezza della rete per le minacce informatiche del mondo reale.
Poiché i pen tester utilizzano processi sia automatizzati che manuali, scoprono vulnerabilità note e sconosciute. E poiché i pen tester utilizzano attivamente i punti deboli in cui si imbattono, è meno probabile che risultino falsi positivi. Se riescono a utilizzare una falla, possono farlo anche i criminali informatici. Infine, poiché i servizi dei test di penetrazione sono forniti da esperti di sicurezza di terze parti, che si avvicinano ai sistemi dal punto di vista di un hacker, i pen test spesso scoprono difetti che i team di sicurezza interni potrebbero non notare.
Gli esperti di cybersecurity consigliano di eseguire dei pen test. Numerosi esperti e autorità di cybersecurity raccomandano i pen test come misura di sicurezza proattiva. Ad esempio, nel 2021, il governo federale degli Stati Uniti ha richiesto alle aziende di utilizzare i pen test per difendersi dagli attacchi di ransomware in crescita.
I pen test supportano la conformità normativa. Le normative sulla sicurezza dei dati quali l’Health Insurance Portability and Accountability Act (HIPAA) e il Regolamento generale sulla protezione dei dati (GDPR) impongono determinati controlli di sicurezza. I test di penetrazione possono aiutare le aziende a dimostrare la conformità a queste normative garantendo che i controlli funzionino come previsto.
Altre normative richiedono esplicitamente i pen test. Lo standard Payment Card Industry Data Security Standard (PCI-DSS), che si applica alle organizzazioni che elaborano carte di credito, richiede in particolare dei “test di penetrazione all’esterno e all’interno” regolari.
I pen test possono inoltre supportare la conformità con gli standard di sicurezza delle informazioni volontari, come l’ISO/IEC 27001.