Piergiorgio Venuti
Comprendere gli approcci di Penetration Testing: Gray Box, Black Box e White Box
Estimated reading time: 5 minuti
Il Penetration Testing, noto anche come pen testing o ethical hacking, è un processo utilizzato per testare la sicurezza di un sistema, di una rete o di un’applicazione. Esistono diversi approcci che possono essere utilizzati per condurre un pen test, tra cui Gray Box, Black Box e White Box. In questo articolo, esploreremo ciascuno di questi approcci in dettaglio e capiremo perché il Penetration Testing è fondamentale per assicurare la sicurezza dei sistemi informatici.
Cos’è il Penetration Testing
Il Penetration Testing è un processo utilizzato per testare la sicurezza di un sistema, di una rete o di un’applicazione simulando un attacco malintenzionato. Questo permette di identificare le vulnerabilità presenti nel sistema e di valutare l’efficacia delle contro-misure in atto.
Approcci di Penetration Testing
Gray Box Testing
L’approccio Gray Box combina elementi dell’approccio Black Box e White Box. Durante un test Gray Box, il tester ha accesso parziale alle informazioni del sistema, come la documentazione o le configurazioni, ma non ha accesso completo al codice sorgente o all’architettura del sistema. Questo approccio è utile quando si vuole testare la sicurezza di un sistema senza causare danni irreparabili.
Black Box Testing
L’approccio Black Box simula l’approccio utilizzato da un attaccante malintenzionato. Durante un test Black Box, il tester non ha alcuna informazione sul sistema che sta testando, a parte l’indirizzo IP o l’URL. Il tester utilizza quindi strumenti automatici e manuali per identificare le vulnerabilità del sistema. Questo approccio è utile per identificare vulnerabilità sconosciute del sistema.
White Box Testing
L’approccio White Box è il più invasivo di tutti gli approcci. Durante un test White Box, il tester ha accesso completo al codice sorgente e all’architettura del sistema. Il tester utilizza queste informazioni per identificare le vulnerabilità del sistema e per valutare la robustezza della sicurezza del sistema. Questo approccio è utile per le organizzazioni che vogliono assicurarsi che il loro sistema sia sicuro al 100%.
Importanza del Penetration Testing per la sicurezza informatica
Il Penetration Testing è fondamentale per assicurare che i sistemi, le reti e le applicazioni siano sicuri e protetti da minacce esterne.
Fasi di un Penetration Test
- Pianificazione: In questa fase si definiscono gli obiettivi del test, si identificano i sistemi e le applicazioni da testare, si selezionano gli strumenti e le tecniche da utilizzare e si stabiliscono i limiti del test (ad esempio, quali sistemi non devono essere testati).
- Recon: In questa fase si raccolgono informazioni sui sistemi e le applicazioni da testare, utilizzando tecniche di ricognizione come la scansione di porte, la raccolta di informazioni sulle vulnerabilità note, la raccolta di informazioni sulle configurazioni e la raccolta di informazioni sulle persone e le organizzazioni coinvolte.
- Scansione: In questa fase si utilizzano strumenti automatici per identificare le vulnerabilità del sistema, come ad esempio la scansione di vulnerabilità, la scansione di vulnerabilità delle applicazioni web e la scansione delle vulnerabilità delle reti.
- Exploit: In questa fase si utilizzano tecniche manuali per sfruttare le vulnerabilità identificate durante la scansione, al fine di verificare l’effettiva esistenza delle vulnerabilità e valutare l’impatto potenziale sulla sicurezza del sistema.
- Post Exploit: Una volta che è stato sfruttato una vulnerabilità, in questa fase si cerca di ottenere il controllo del sistema compromesso per verificare quanto a lungo è possibile mantenere l’accesso e quali azioni si possono compiere all’interno del sistema compromesso.
- Report: In questa fase si crea un report dettagliato delle vulnerabilità identificate, delle tecniche utilizzate per sfruttarle, delle raccomandazioni per la correzione delle vulnerabilità e dell’impatto potenziale sulla sicurezza del sistema.
È importante notare che ci possono essere variazioni nella metodologia utilizzata a seconda del contesto e delle esigenze specifiche del test, ma queste sono le fasi generali di un Penetration Testing.
Inoltre, è importante menzionare che il Penetration Testing deve essere condotto da professionisti qualificati, che utilizzano strumenti e metodologie appropriate e che seguono una metodologia ben definita per assicurare che i test siano efficienti e che forniscano risultati affidabili. Inoltre, è importante che il Penetration Testing sia ripetuto regolarmente per garantire che i sistemi siano sempre protetti da minacce esterne. È anche importante assicurarsi di avere il consenso del proprietario del sistema o dell’applicazione prima di iniziare il test e di rispettare le leggi e la deontologia durante il processo di Penetration Testing, evitando di causare danni al sistema o alla rete testata e rispettando la privacy degli utenti.
In generale, il Penetration Testing è un processo fondamentale per assicurare la sicurezza dei sistemi informatici. Utilizzando uno dei tre approcci descritti (Gray Box, Black Box, White Box) e seguendo una metodologia ben definita, le organizzazioni possono identificare e correggere le vulnerabilità del sistema prima che possano essere sfruttate da attaccanti malintenzionati. Inoltre, il Penetration Testing fornisce una valutazione della robustezza della sicurezza del sistema e aiuta a identificare eventuali vulnerabilità future.
Conclusioni
In conclusione, il Penetration Testing è un processo essenziale per assicurare la sicurezza dei sistemi informatici. Utilizzando uno dei tre approcci descritti (Gray Box, Black Box, White Box) e seguendo una metodologia ben definita, le organizzazioni possono identificare e correggere le vulnerabilità del sistema prima che possano essere sfruttate da attaccanti malintenzionati. Inoltre, il Penetration Testing fornisce una valutazione della robustezza della sicurezza del sistema e aiuta a identificare eventuali vulnerabilità future.
Inoltre, è importante che il Penetration Testing sia condotto da professionisti qualificati, che utilizzano strumenti e metodologie appropriate e che seguono una metodologia ben definita per assicurare che i test siano efficienti e che forniscano risultati affidabili. Inoltre, è importante che il Penetration Testing sia ripetuto regolarmente per garantire che i sistemi siano sempre protetti da minacce esterne.
In generale, il Penetration Testing è un’attività importante per garantire la sicurezza dei sistemi informatici e per proteggere i dati sensibili delle organizzazioni. È fondamentale che le organizzazioni comprendano gli approcci di Penetration Testing e che li utilizzino regolarmente per garantire la sicurezza dei propri sistemi e proteggere i propri dati. Inoltre, è importante che le organizzazioni investano in professionisti qualificati e in strumenti adeguati per condurre i test in modo efficace e per ottenere risultati affidabili. In questo modo, le organizzazioni possono essere sicure di proteggere i propri dati e i propri sistemi da minacce esterne.
Useful links:
Condividi
RSS
Piu’ articoli…
- Da Secure Online Desktop a Cyberfero: il rebranding dell’azienda leader nella cybersecurity
- NIS2 – Come il nuovo regolamento cyber potenzia la sicurezza dell’Europa
- Advanced persistent threat (APT): cosa sono e come difendersi
- Penetration Testing e MFA: Una Strategia Duplice per Massimizzare la Sicurezza
- SOAR e l’automazione della sicurezza informatica
- Penetration Testing: Dove Colpire per Proteggere la Tua Rete Informatica
- Ransomware: una piaga che mette in ginocchio aziende e istituzioni. Pagare o non pagare? Ecco la risposta.
- Perché l’audit IT e il log management sono importanti per la Cybersecurity
Categorie …
- Backup as a Service (25)
- Acronis Cloud Backup (18)
- Veeam Cloud Connect (3)
- Cloud CRM (1)
- Cloud Server/VPS (23)
- Conferenza Cloud (4)
- Cyberfero (15)
- Log Management (2)
- Monitoraggio ICT (4)
- Novita' (21)
- ownCloud (7)
- Privacy (8)
- Security (215)
- Cyber Threat Intelligence (CTI) (9)
- Deception (4)
- Ethical Phishing (10)
- Netwrix Auditor (2)
- Penetration Test (18)
- Posture Guard (4)
- SOCaaS (66)
- Vulnerabilita' (83)
- Web Hosting (16)
Tags
CSIRT
- Ivanti: rilevato sfruttamento in rete della CVE-2024-8190 relativa al prodotto Cloud Service Appliance
(AL01/240916/CSIRT-ITA) Settembre 16, 2024Rilevato lo sfruttamento attivo in rete della vulnerabilità CVE-2024-8190 – già sanata dal vendor – che interessa la soluzione Cloud Service Appliance (CSA) di Ivanti, appliance di rete per la gestione e la protezione dei dispositivi aziendali connessi a Internet.
- La Settimana Cibernetica del 15 settembre 2024 Settembre 16, 2024Scarica il riepilogo delle notizie pubblicate dal CSIRT Italia dal 09 al 15 settembre 2024.
- Aggiornamenti per VMware Spring
(AL02/240913/CSIRT-ITA) Settembre 13, 2024Aggiornamenti di sicurezza VMware risolvono una vulnerabilità in Spring, noto framework open source per lo sviluppo di applicazioni Java. Tale vulnerabilità, qualora sfruttata, potrebbe permettere l’accesso ad informazioni sensibili presenti sui sistemi target.
- Vulnerabilità in prodotti Citrix
(AL01/240913/CSIRT-ITA) Settembre 13, 2024Rilevate 2 nuove vulnerabilità di sicurezza, di cui una con gravità “alta” che interessa il software Citrix Workspace
- Risolte vulnerabilità in prodotti Cisco
(AL03/240912/CSIRT-ITA) Settembre 12, 2024Aggiornamenti di sicurezza sanano 9 nuove vulnerabilità, di cui 7 con gravità “alta”, in alcuni prodotti Cisco.
- Risolta vulnerabilità in prodotti Cisco
(AL01/240829/CSIRT-ITA) Settembre 12, 2024Aggiornamenti di sicurezza Cisco sanano una vulnerabilità con gravità “alta” presente nel prodotto Cisco Nexus Switch. Tale vulnerabilità, qualora sfruttata, potrebbe consentire ad un utente malintenzionato remoto di compromettere la disponibilità del servizio sui dispositivi target.
- Sanate vulnerabilità su GitLab CE/EE
(AL02/240912/CSIRT-ITA) Settembre 12, 2024Rilasciati aggiornamenti di sicurezza che risolvono alcune vulnerabilità, di cui una con gravità “critica” e tre con gravità “alta”, in GitLab Community Edition (CE) e Enterprise Edition (EE).
- Palo Alto Networks: risolte vulnerabilità in PAN-OS
(AL01/240912/CSIRT-ITA) Settembre 12, 2024Palo Alto Networks ha rilasciato aggiornamenti di sicurezza per risolvere molteplici vulnerabilità, di cui 1 con gravità “alta”, nel prodotto PAN-OS. Tale vulnerabilità potrebbe consentire a un utente malintenzionato il bypass delle misure di sicurezza ed eseguire codice arbitrario.
- Aggiornamenti Mensili Microsoft
(AL01/240911/CSIRT-ITA) Settembre 11, 2024Microsoft ha rilasciato gli aggiornamenti di sicurezza mensili che risolvono un totale di 79 nuove vulnerabilità, di cui 4 di tipo 0-day.
- Vulnerabilità nei prodotti OwnCloud
(AL09/240911/CSIRT-ITA) Settembre 11, 2024Rilevate nuove vulnerabilità in OwnCloud, noto software di condivisione e collaborazione, di cui una con gravità “alta”.
darkreading
- Name That Toon: Tug of War Settembre 16, 2024Feeling creative? Submit your caption and our panel of experts will reward the winner with a $25 Amazon gift card.
- Cybersecurity & the 2024 US Elections Settembre 16, 2024While the 2024 election may see various cyber threats, existing security measures and coordination across all levels of government aim to minimize their impact.
- Cybersecurity Community Celebrates Documentary Premiere at Tampa Theatre Settembre 14, 2024
- South Korea Digital Forensics Market to Hit US $3.52B by 2031 Settembre 14, 2024
- Fortinet Confirms Customer Data Breach via Third Party Settembre 13, 2024The incident is a reminder why organizations need to pay attention to how they store and secure data in SaaS and cloud environments.
- Compliance Automation Pays Off for a Growing Company Settembre 13, 2024In this case study, a CISO helps a B2B marketing automation company straighten out its manual compliance process by automating it.
- Over a Third of Cyberattacks Result in Job Losses Settembre 13, 2024
- Malicious Actors Sow Discord With False Election Compromise Claims Settembre 13, 2024The FBI and CISA are warning citizens of attempts to convince voters that US election infrastructure has been compromised. (It hasn't been.)
- 99% of Business Leaders Have Concerns About the Trustworthiness of Internal Data Settembre 13, 2024
- Cloud-Native Network Security Up 17%, Hardware Down 2% Settembre 13, 2024
Full Disclosure
- CVE-2024-25286 - RedSys - A Cross-Site Request Forgery (CSRF) vulnerability was identified in the Authorization Method of 3DSecure 2.0 Settembre 12, 2024Posted by RUBEN LOPEZ HERRERA on Sep 11Product: 3DSecure 2.0 Manufacturer: Redsys Affected Version(s): 3DSecure 2.0 3DS Authorization Method Tested Version(s): 3DSecure 2.0 3DS Authorization Method Vulnerability Type: Cross-Site Request Forgery (CSRF) Risk Level: Medium Solution Status: Not yet fixed Manufacturer Notification: 2024-01-17 Solution Date: N/A Public Disclosure: 2024-09-17 CVE Reference: CVE-2024-25286 Overview: A Cross-Site […]
- CVE-2024-25285 - RedSys - 3DSecure 2.0 is vulnerable to form action hijacking Settembre 12, 2024Posted by RUBEN LOPEZ HERRERA on Sep 11Product: 3DSecure 2.0 Manufacturer: Redsys Affected Version(s): 3DSecure 2.0 3DS Method Authentication Tested Version(s): 3DSecure 2.0 3DS Method Authentication Vulnerability Type: Cross-Site Scripting (XSS) Risk Level: Medium Solution Status: Not yet fixed Manufacturer Notification: 2024-01-17 Solution Date: N/A Public Disclosure: 2024-09-17 CVE Reference: CVE-2024-25285 Overview: 3DSecure 2.0 is […]
- CVE-2024-25284 - RedSys - Multiple reflected Cross-Site Scripting (XSS) vulnerabilities in the 3DS Authorization Method of 3DSecure 2.0 Settembre 12, 2024Posted by RUBEN LOPEZ HERRERA on Sep 11Product: 3DSecure 2.0 Manufacturer: Redsys Affected Version(s): 3DSecure 2.0 3DS Authorization Method Tested Version(s): 3DSecure 2.0 3DS Authorization Method Vulnerability Type: Cross-Site Scripting (XSS) Risk Level: Medium Solution Status: Not yet fixed Manufacturer Notification: 2024-01-17 Solution Date: N/A Public Disclosure: 2024-09-17 CVE Reference: CVE-2024-25284 Overview: Multiple reflected Cross-Site […]
- CVE-2024-25283 - RedSys - Multiple reflected Cross-Site Scripting (XSS) vulnerabilities exist in the 3DS Authorization Challenge of 3DSecure 2.0 Settembre 12, 2024Posted by RUBEN LOPEZ HERRERA on Sep 11Product: 3DSecure 2.0 Manufacturer: Redsys Affected Version(s): 3DSecure 2.0 3DS Authorization Challenge Tested Version(s): 3DSecure 2.0 3DS Authorization Challenge Vulnerability Type: Cross-Site Scripting (XSS) Risk Level: Medium Solution Status: Not yet fixed Manufacturer Notification: 2024-01-17 Solution Date: N/A Public Disclosure: 2024-09-17 CVE Reference: CVE-2024-25283 Overview: Multiple reflected Cross-Site […]
- CVE-2024-25282 - RedSys - 3DSecure 2.0 is vulnerable to Cross-Site Scripting (XSS) in its 3DSMethod Authentication Settembre 12, 2024Posted by RUBEN LOPEZ HERRERA on Sep 11Product: 3DSecure 2.0 Manufacturer: Redsys Affected Version(s): 3DSecure 2.0 3DS Method Authentication Tested Version(s): 3DSecure 2.0 3DS Method Authentication Vulnerability Type: Cross-Site Scripting (XSS) Risk Level: Medium Solution Status: Not yet fixed Manufacturer Notification: 2024-01-17 Solution Date: N/A Public Disclosure: 2024-09-17 CVE Reference: CVE-2024-25282 Overview: 3DSecure 2.0 is […]
- KL-001-2024-012: VICIdial Authenticated Remote Code Execution Settembre 10, 2024Posted by KoreLogic Disclosures via Fulldisclosure on Sep 10KL-001-2024-012: VICIdial Authenticated Remote Code Execution Title: VICIdial Authenticated Remote Code Execution Advisory ID: KL-001-2024-012 Publication Date: 2024-09-10 Publication URL: https://korelogic.com/Resources/Advisories/KL-001-2024-012.txt 1. Vulnerability Details Affected Vendor: VICIdial Affected Product: VICIdial Affected Version: 2.14-917a Platform: GNU/Linux CWE Classification:...
- KL-001-2024-011: VICIdial Unauthenticated SQL Injection Settembre 10, 2024Posted by KoreLogic Disclosures via Fulldisclosure on Sep 10KL-001-2024-011: VICIdial Unauthenticated SQL Injection Title: VICIdial Unauthenticated SQL Injection Advisory ID: KL-001-2024-011 Publication Date: 2024-09-10 Publication URL: https://korelogic.com/Resources/Advisories/KL-001-2024-011.txt 1. Vulnerability Details Affected Vendor: VICIdial Affected Product: VICIdial Affected Version: 2.14-917a Platform: GNU/Linux CWE Classification: CWE-89:...
- OXAS-ADV-2024-0005: OX App Suite Security Advisory Settembre 10, 2024Posted by Martin Heiland via Fulldisclosure on Sep 09Dear subscribers, We're sharing our latest advisory with you and like to thank everyone who contributed in finding and solving those vulnerabilities. Feel free to join our bug bounty programs for OX App Suite, Dovecot and PowerDNS at YesWeHack. This advisory has also been published at https://documentation.open-xchange.com/appsuite/security/advisories/html/2024/oxas-adv-2024-0005.html. […]
- [SYSS-2024-030]: C-MOR Video Surveillance - OS Command Injection (CWE-78) Settembre 6, 2024Posted by Matthias Deeg via Fulldisclosure on Sep 05Advisory ID: SYSS-2024-030 Product: C-MOR Video Surveillance Manufacturer: za-internet GmbH Affected Version(s): 5.2401, 6.00PL01 Tested Version(s): 5.2401, 6.00PL01 Vulnerability Type: OS Command Injection (CWE-78) Risk Level: High Solution Status: Open Manufacturer Notification: 2024-04-05 Solution Date: - Public Disclosure: 2024-09-04...
- [SYSS-2024-029]: C-MOR Video Surveillance - Dependency on Vulnerable Third-Party Component (CWE-1395) Settembre 6, 2024Posted by Matthias Deeg via Fulldisclosure on Sep 05Advisory ID: SYSS-2024-029 Product: C-MOR Video Surveillance Manufacturer: za-internet GmbH Affected Version(s): 5.2401 Tested Version(s): 5.2401 Vulnerability Type: Dependency on Vulnerable Third-Party Component (CWE-1395) Use of Unmaintained Third Party Components (CWE-1104) Risk Level: High Solution Status: Fixed...
Customers
Twitter FEED
Recent activity
-
SecureOnlineDesktop
Estimated reading time: 6 minutes L'impatto crescente delle minacce informatiche, su sistemi operativi privati op… https://t.co/FimxTS4o9G
-
SecureOnlineDesktop
Estimated reading time: 6 minutes The growing impact of cyber threats, on private or corporate operating systems… https://t.co/y6G6RYA9n1
-
SecureOnlineDesktop
Tempo di lettura stimato: 6 minuti Today we are talking about the CTI update of our services. Data security is… https://t.co/YAZkn7iFqa
-
SecureOnlineDesktop
Estimated reading time: 6 minutes Il tema della sicurezza delle informazioni è di grande attualità in questo peri… https://t.co/tfve5Kzr09
-
SecureOnlineDesktop
Estimated reading time: 6 minutes The issue of information security is very topical in this historical period ch… https://t.co/TP8gvdRcrF
Newsletter
{subscription_form_2}Prodotti e Soluzioni
Collaborazioni
Modelli Cloud
News
- Da Secure Online Desktop a Cyberfero: il rebranding dell’azienda leader nella cybersecurity Maggio 6, 2024
- NIS2 – Come il nuovo regolamento cyber potenzia la sicurezza dell’Europa Aprile 22, 2024
- Advanced persistent threat (APT): cosa sono e come difendersi Aprile 17, 2024
- Penetration Testing e MFA: Una Strategia Duplice per Massimizzare la Sicurezza Aprile 15, 2024
- SOAR e l’automazione della sicurezza informatica Marzo 27, 2024
Recensioni Google
Ottima azienda, servizi molto utili, staff qualificato e competente. Raccomandata!leggi di più
Ottimo supportoleggi di più
E' un piacere poter collaborare con realtà di questo tipoleggi di più
Un ottimo fornitore.
Io personalmente ho parlato con l' Ing. Venuti, valore aggiunto indubbiamente.leggi di più
Contatti
© 2024 Cyberfero s.r.l. All Rights Reserved. Sede Legale: via Statuto 3 - 42121 Reggio Emilia (RE) – PEC [email protected] Cod. fiscale e P.IVA 03058120357 – R.E.A. 356650 Informativa Privacy - Certificazioni ISO