Estimated reading time: 7 minuti
L’ethical hacking indica l’applicazione a fin di bene di tecniche di hacking. Il termine “hacker” è stato coniato negli anni ’60 al Massachusetts Institute of Technology (MIT) per descrivere gli esperti che usavano le loro abilità per ri-sviluppare i sistemi mainframe, aumentandone l’efficienza e permettendo loro di svolgere più compiti.
Al giorno d’oggi, il termine descrive normalmente i programmatori esperti che ottengono un accesso non autorizzato nei sistemi informatici sfruttando le debolezze o utilizzando bug, motivati da cattive intenzioni. Per esempio, un hacker potrebbe creare algoritmi per crackare (violare) le password, penetrare nelle reti o anche interrompere i servizi di rete.
Con l’aumento della popolarità di Internet e del commercio elettronico, l’hacking negativo è diventato la forma più comunemente conosciuta. Un’immagine rafforzata dalla sua rappresentazione in varie forme di notizie e intrattenimento. Di norma, la spinta principale dell’hacking malevolo/non etico è il furto di informazioni preziose o il guadagno finanziario.
Detto questo, non tutto l’hacking è cattivo. Infatti, esiste un secondo tipo di hacking: ethical hacking. Si potrebbe dibattere che questo è il tipo originale di hacking. Infatti, i primi hacker non avevano nessun intento negativo, anzi, il loro scopo era ottimizzare e migliorare i sistemi esistenti.
Cos’è l’ethical hacking e perché ne abbiamo bisogno?
Ethical Hacking è la pratica autorizzata di bypassare la sicurezza di un sistema per identificare potenziali violazioni di dati e minacce in una rete. La società che possiede il sistema o la rete permette agli ingegneri/hacker etici di eseguire tali attività al fine di testare le difese del sistema. Quindi, a differenza dell’hacking malevolo, l’ethical hacking è pianificato, approvato e, soprattutto, legale.
Gli hacker etici hanno lo scopo di indagare il sistema o la rete alla ricerca di punti deboli che gli hacker malintenzionati potrebbero sfruttare o distruggere. Raccolgono e analizzano le informazioni per capire come rafforzare la sicurezza del sistema/rete/applicazioni. Così facendo, possono migliorare la sicurezza in modo che possa resistere meglio agli attacchi o mitigarli.
Gli hacker etici sono assunti dalle organizzazioni per prevenire le violazioni dei dati. In sostanza si fa questo ragionamento: per capire come un ladro potrebbe entrarci in casa, la cosa migliore è fingersi ladri e usare le loro tecniche.
Da notare che il ragionamento implica che chi svolge ethical hacking non conosca lo stato del sistema che sta per violare, così non sarà in alcun modo influenzato nello svolgere determinate attività o violare solo certe parti del sistema. Per l’azienda questo significa che il miglior hacker etico che possono trovare è un esterno al team di sicurezza.
L’attività degli hacker etici
L’ethical hacking controlla vulnerabilità chiave che includono molti aspetti del sistema informatico come: cambiamenti nelle impostazioni di sicurezza, esposizione di dati sensibili, violazione dei protocolli di autenticazione, etc.
Ovviamente ogni infrastruttura aziendale è composta da una combinazione di strumenti, hardware e software potenzialmente unica. Per questo, l’hacker etico deve mettere in campo moltissime conoscenze, strumenti personalizzati e procedure specifiche che non sono quasi mai le stesse da progetto a progetto. Questo è positivo, perché, proprio come gli hacker malintenzionati, anche l’hacker etico è spinto ad essere sempre aggiornato sulle novità del settore, testare nuove tecniche e studiare nuovi modi per mitigare il rischio.
Tipi di hacker
La pratica dell’ethical hacking è chiamata in gergo hacking “white hat” e coloro che la eseguono sono chiamati hacker white hat. In contrasto con l’hacking etico, quello “Black Hat” descrive le pratiche che comportano violazioni della sicurezza. Gli hacker black hat utilizzano tecniche illegali per compromettere i sistemi o violare dei dati.
A differenza degli hacker white hat, gli hacker “Grey Hat“ non chiedono il permesso prima di entrare nel sistema, ma le loro motivazioni non sono malevole. Infatti, i grey hat sono anche diversi dai Black Hat perché non eseguono l’hacking per vantaggio personale o di terzi. Questi hacker violano i sistemi per divertimento, di solito informando il proprietario di qualsiasi minaccia che trovano. Grey hat e black hat hacking sono entrambi illegali perché entrambi costituiscono una violazione non autorizzata del sistema, anche se le intenzioni sono profondamente diverse.
Le intenzioni
Il modo migliore per distinguere tra gli i white hat e black hat è dare un’occhiata alle loro motivazioni. I black hat sono motivati da guadagni personali, profitto o molestie; mentre i white hat (hacker etici) cercano e rimediano alle vulnerabilità, in modo da impedire agli altri hacker di trarne vantaggio.
Vediamo insieme altre differenze tra i due tipi di hacker.
Tecniche utilizzate
L’ethical hacking duplica le tecniche e i metodi seguiti dagli hacker malintenzionati al fine di scoprire le falle del sistema. Replicando tutti i passi dei cyber criminali, si può scoprire come un attacco al sistema sia avvenuto o possa avvenire. Se trovano un punto debole nel sistema o nella rete, lo segnalano immediatamente e sistemano la falla. Questo tipo di servizi sono solitamente chiamati valutazione delle vulnerabilità e test di penetrazione, e sono offerti anche da SOD.
Legalità
Anche se il l’hacker etico segue le stesse tecniche e metodi dei black hat hacker, solo una pratica è legalmente accettabile. Gli hacker, normalmente, infrangono la legge penetrando nei sistemi senza consenso, mentre gli hacker etici ricevono il permesso dai proprietari dei sistemi che li ingaggiano per testare le infrastrutture.
Proprietà
Gli hacker etici sono impiegati dalle organizzazioni per penetrare nei loro sistemi e rilevare problemi di sicurezza. I black hat hacker non possiedono il sistema né lavorano per qualcuno che lo possiede.
Benefici dell’ethical hacking
Imparare l’hacking etico comporta lo studio della mentalità e delle tecniche dei black hat hacker per imparare a identificare e correggere le vulnerabilità all’interno delle reti. Lo studio dell’hacking etico può essere applicato dai professionisti della sicurezza in tutte le industrie e in una moltitudine di settori. Questa sfera include il network defender, il risk management e il quality assurance tester.
Tuttavia, il vantaggio più evidente dell’apprendimento dell’hacking etico è il suo potenziale per informare e migliorare e difendere le reti aziendali. La minaccia principale per la sicurezza di qualsiasi organizzazione è un hacker. Imparare, capire e implementare come operano questi criminali può aiutare i responsabili della sicurezza a dare priorità ai potenziali rischi e imparare come rimediare al meglio.
Da notare che l’hacking non deve essere inteso come relativo solo alle infrastrutture informatiche ma a tutto l’apparato tecnologico di un azienda. L’ingegneria sociale, per esempio, fa leva sul fattore umano per ottenere accessi a luoghi, fisici o virtuali, in cui sono custoditi dei dati di valore. Ancora, tramite campagne di phishing, è possibile ingannare gli utenti di un sistema a fornire le proprie password e “regalare” l’accesso a malintenzionati.
I servizi di SOD per la sicurezza della tua azienda
Ogni azienda che gestisce dati sensibili dei propri clienti deve assicurarsi che le procedure e i sistemi utilizzati siano sufficientemente sicuri. Come accennato prima, far svolgere test e prove di vulnerabilità a personale interno potrebbe essere un’arma a doppio taglio. Se anche si disponesse di un esperto di sicurezza, è da considerare che dovendo violare sistemi che magari ha lui stesso messo in opera, aumenta il rischio di un falso positivo.
Per questo motivo, aziende come SOD mettono a disposizione dei servizi orientati proprio alla valutazione e test delle misure di sicurezza aziendale.
Dal classico Vulnerability Assessment e Penetration Test, pensati per mettere alla prova hardware e software di rete, è possibile passare a servizi che testano fisicamente la sicurezza aziendale o anche le procedure di gestione dei dati sensibili.
Con gli addon per la sicurezza fisica si mettono in campo tecniche per guadagnare l’accesso agli uffici, tentare di raggiungere le centraline di rete o i server, ma anche tentativi di manomissione o installazione di hardware non autorizzato.
Per quello che riguarda il fattore umano, è anche disponibile un servizio di phishing etico, attraverso il quale viene lanciata una campagna di phishing verso l’azienda e vengono testate le reazioni dei dipendenti. Questo individua i punti deboli che saranno poi utilizzati per organizzare un percorso formativo ad hoc.
Come vedi, SOD mette a disposizione delle aziende dei servizi completi per la sicurezza. Non esitare a contattarci per richiedere ulteriori informazioni o farci eventuali domande che potresti avere.
Useful links:
Estimated reading time: 6 minuti
La Cyber Security è la pratica di difendere computer, server, dispositivi mobili, sistemi elettronici, reti e dati da attacchi maligni. È anche conosciuta come Information Technology Security e Electronic Information Security. Il termine si applica in una grande varietà di contesti, dal business al mobile computing e può essere diviso in alcune categorie comuni.
Possiamo dividere la cyber security in diverse aree di interesse che elenco qui di seguito brevemente. In quasi ogni situazione elencata, SOD dispone di un servizio dedicato.
Aree di interesse della Cyber Security
La network security è la pratica di proteggere una rete di computer dagli intrusi, sia che si tratti di aggressioni mirate o di malware generici.
L’application security si concentra sul mantenere il software e i dispositivi liberi da minacce. Un’applicazione compromessa potrebbe fornire l’accesso ai dati che è stata progettata per proteggere. Una sicurezza solida inizia nella fase di progettazione, ben prima che un programma o un dispositivo venga distribuito. Per questo l’analisi del codice di un’app è essenziale prima che venga rilasciata.
L’operational security include i processi e le decisioni nella gestione e protezione delle risorse e dei dati. I permessi che gli utenti hanno quando accedono a una rete e le procedure che determinano come e dove i dati possono essere memorizzati o condivisi rientrano tutti in questo ambito.
Disaster recovery e business continuity definiscono come un’organizzazione sia in grado di rispondere a un incidente che riguarda la cyber security o a qualsiasi altro evento che causi la perdita di dati. Le politiche di disaster recovery dettano come l’organizzazione ripristina le sue operazioni e informazioni per tornare alla stessa capacità operativa di prima dell’evento. La continuità del business è il piano a cui l’organizzazione ricorre mentre cerca di operare senza certe risorse.
La parte umana della cyber security
L’educazione dell’utente finale affronta il fattore più imprevedibile della sicurezza informatica: le persone. Chiunque può accidentalmente introdurre un virus in un sistema altrimenti sicuro non seguendo le best practice per la sicurezza. Per esempio, insegnare agli utenti a cancellare gli allegati di posta elettronica sospetti e a non inserire unità USB non identificate è vitale per la sicurezza di qualsiasi organizzazione.
In quest’area, particolare rilievo va dato alle truffe, al phishing e in generale all’ingegneria sociale, che fa leva sull’elemento solitamente più debole del sistema informatico: l’operatore.
La portata delle cyber threat
La minaccia informatica (cyber threat) globale continua ad evolversi ad un ritmo rapido, con un numero crescente di violazioni dei dati ogni anno. Un rapporto di RiskBased Security ha rivelato che 7,9 miliardi di documenti sono stati esposti a violazioni di dati nei primi nove mesi del 2019. Questa cifra è più del doppio (112%) del numero di documenti esposti nello stesso periodo l’anno precedente.
I servizi medici, i rivenditori e gli enti pubblici hanno sperimentato il maggior numero di violazioni, con criminali malintenzionati responsabili della maggior parte degli incidenti. Alcuni di questi settori sono più attraenti per i criminali informatici perché raccolgono dati finanziari e medici, ma tutte le aziende che utilizzano le reti possono essere prese di mira per i dati dei loro clienti, lo spionaggio aziendale o per attaccare i clienti.
Cosa fanno i governi
Con la scala della minaccia cibernetica destinata a continuare a crescere, l’International Data Corporation prevede che la spesa mondiale per le soluzioni di cyber security raggiungerà una cifra record di $133,7 miliardi entro il 2022. I governi di tutto il mondo hanno risposto alla crescente minaccia informatica con una guida per aiutare le organizzazioni a implementare pratiche efficaci di sicurezza informatica.
Negli Stati Uniti, il National Institute of Standards and Technology (NIST) ha creato un cyber security framework, per combattere la proliferazione del codice malware e aiutare il rilevamento preventivo. Il framework raccomanda il monitoraggio continuo e in tempo reale di tutte le risorse elettroniche.
L’importanza del monitoraggio del sistema è ripresa nei “10 passi verso la sicurezza informatica“, una guida fornita dal National Cyber Security Centre del governo britannico. In Australia, l’Australian Cyber Security Centre (ACSC) pubblica regolarmente una guida su come le organizzazioni possono contrastare le ultime minacce alla sicurezza informatica.
In Italia abbiamo il framework nazionale per la cyber security che fornisce tutorial, guide e norme europee in fatto di sicurezza informatica.
MSSP e servizi per la cyber security
Un Managed Security Service Provider (MSSP) fornisce monitoraggio e gestione in outsourcing per dispositivi e sistemi di sicurezza. In pratica si occupa di tutte le misure di cyber security per l’azienda che ne richiede i servizi.
SOD è un MSSP e i servizi offerti includono protezione e monitoring di diversi settori del reparto IT aziendale.
I nostri servizi di verifica includono test di vulnerabilità e di penetrazione, così come l’analisi delle procedure di sicurezza. Con il servizio SOC as a Service mettiamo a disposizione le potenzialità di un Security Operation Center sollevando l’azienda dai costi di installazione e gestione. Il SOC adotta tecnologie di ultima generazione come SIEM Next Gen e UEBA, che introducono l’analisi da parte di una IA per il motoring dei log e degli utenti.
SOD utilizza centri operativi di sicurezza per fornire servizi 24/7 progettati per ridurre il numero di personale operativo che un’azienda deve gestire, garantendo comunque livelli di cyber security eccellenti.
Ma i fronti di difesa non si devono fermare al software e alle macchine, devono includere anche l’elemento più imprevedibile: l’utente finale. Ecco perché nella nostra offerta per le aziende si trovano anche servizi people-oriented, come vedremo tra poco.
Protezione dell’utente finale
La protezione dell’utente finale è un aspetto cruciale della cyber security. Dopo tutto, è spesso l’utente finale che accidentalmente carica un malware o un’altra forma di minaccia informatica sul proprio dispositivo.
Come suggerito prima, i protocolli di sicurezza messi in piedi da SOD analizzano i software in tempo reale. Attraverso sistemi di analisi comportamentale possiamo monitorare sia il comportamento di un software che dell’utente. Nel caso di un attacco basato sul lateral movement, per esempio, accessi e richieste anomale da parte di un utente possono essere indicatori di un attacco in corso.
Ma non ci fermiamo a questo, possiamo mettere alla prova l’azienda contro tecniche di ingegneria sociale, phishing e manomissione fisica. Grazie ai servizi di ethical hacking e conseguente report, siamo in grado di individuare i punti deboli dell’azienda e suggerire strategie efficaci per mitigare i rischi. Nel caso del phishing, organizziamo anche formazione ad hoc in base alle debolezze evidenziate dal report.
Tramite il servizio di sicurezza fisica, in aggiunta ai servizi di test delle vulnerabilità informatiche, ci mettiamo nei panni dei malintenzionati e proviamo a portare a termine attacchi fisici. Per esempio, cerchiamo di entrare negli edifici aziendali che dovrebbero essere protetti, cerchiamo di raggiungere le infrastrutture di rete e installare hardware potenzialmente dannosi, etc.
Grazie a un team di hacker etici e operatori formati e preparati, testiamo ogni aspetto di cyber security prima che un rischio diventi un problema.
Se vuoi maggiori informazioni riguardo ai nostri servizi o hai delle domande, non esitare a contattarci.
Useful links:
Link utili:
La minaccia del ransomware DDos
Cyber Threat Intelligence (CTI)
Vulnerability Assessment & Penetration Test
Mobile App Penetration Test & Code Review
VPN Aziendali e navigazione internet sicura
Tempo di lettura: 6 min
La sicurezza delle reti informatiche e’ di vitale importanza per un’azienda. Con le tecnologie che fanno sempre piu’ affidamento a servizi in remoto, e’ bene assicurarsi che la sicurezza sia garantita. Per farlo si ricorre a due strumenti: Vulnerability Assessment e Penetration Test. Ma qual e’ la differenza tra di loro? La risposta a questa domanda non e’ cosi’ scontata come si potrebbe pensare.
La risposta breve e’: un Pentest (PT) puo’ essere una forma di valutazione della vulnerabilita’ (VA), ma una valutazione della vulnerabilita’ non e’ sicuramente un Pentest. Cerchiamo di capire meglio come funzionano e i loro scopi.
Verifica della sicurezza delle reti informatiche: Vulnerability Assessment
Una valutazione delle vulnerabilita’ e’ il processo di esecuzione di strumenti automatizzati contro indirizzi IP definiti per identificare le vulnerabilita’ nell’ambiente in cui si opera. Tipicamente le vulnerabilita’ includono sistemi non protetti o configurati in modo errato. Gli strumenti utilizzati per eseguire le scansioni delle vulnerabilita’ sono software specifici che automatizzano il processo. Ovviamente questi software sono praticamente inutili senza un operatore che sappia usarli correttamente.
Questi strumenti forniscono un metodo semplice per eseguire la scansione delle vulnerabilita’ e ne esistono sia open source che proprietari. Il vantaggio principale di quelli open-source e’ che, con grande probabilita’, sono gli stessi usati dagli hacker, e’ improbabile che questi paghino un costoso abbonamento, quando possono scaricare degli applicativi open source gratuitamente.
Nella pratica, una VA permette di:
- identificare e classificare falle di sicurezza nella rete informatica
- comprendere le minacce informatiche a cui l’azienda e’ esposta
- raccomandare misure correttive per eliminare le debolezze riscontrate
Lo scopo di una Vulnerability Assessment e’ quello di identificare le vulnerabilita’ note in modo che possano essere corrette. Le scansioni sono tipicamente eseguite almeno trimestralmente, anche se molti esperti consigliano scansioni mensili.
Come si esegue una VA
Il processo di esecuzione si divide in due fasi e non prevede lo sfruttamento delle debolezze riscontrate. Questo ulteriore passaggio e’ invece previsto nel Penetration Test.
- Fase 1: prima analisi
- durante questa fase vengono raccolte tutte le informazioni disponibili sull’obiettivo per determinare quali potrebbero essere i punti deboli e le falle nel sistema di sicurezza delle reti informatiche
- Fase 2: seconda analisi
- in questa fase, tramite l’uso delle informazioni ricavate, vengono messe alla prova i possibili problemi. In questa fase le vulnerabilita’ sono testate per capire se siano effettivi problemi come supposto precedentemente.
Data l’incredibile velocita’ in cui le tecnologie e le tecniche informatiche si evolvono, e’ possibile che un sistema si mostri sicuro questo mese, ma abbia invece delle criticita’ da risolvere il mese successivo. Per questo e’ consigliato ripetere regolarmente e con frequenza i controlli di sicurezza sulle reti informatiche aziendali.
Risultati
Alla fine del processo di verifica delle vulnerabilita’ di un sistema, i report finali contengono tutti i risultati raccolti. Tipicamente questi racchiudo tutte le informazioni rilevanti, tra cui:
- l’elenco delle vulnerabilita’ riscontrate
- una descrizione approfondita delle vulnerabilita’
- contromisure da adottare per ridurre i rischi
La verifica delle vulnerabilita’ e’ una procedura fondamentale per l’azienda, ma non ne garantisce la sicurezza delle reti informatiche. Per la corretta manutenzione della sicurezza dei propri sistemi, e’ indispensabile ricorrere anche a un altro strumento: il Penetration Test.
Penetration test
Il Pentest, o test di penetrazione, ha lo scopo di verificare come si possano sfruttare le vulnerabilita’ di un sistema per ottenere accesso e muoversi al suo interno. Una delle fasi iniziali eseguite da un pentester e’ la scansione della rete per trovare gli indirizzi IP, il tipo di dispositivo, i sistemi operativi e le possibili vulnerabilita’ del sistema. Ma, a differenza della Vulnerability Assessment, il Pentest non si ferma qui.
Di cruciale importanza per un tester e’ lo sfruttamento (exploit) delle vulnerabilita’ individuate al fine di ottenere il controllo della rete o per impossessarsi di dati sensibili. Il tester utilizza strumenti automatizzati configurabili per eseguire exploit contro i sistemi delle reti informatiche. La parte peculiare, pero’, avviene quando il tester esegue dei tentativi manuali di exploit, proprio come farebbe un hacker.
Classificazione
I test di penetrazione sono classificati in due modi: grey box oppure black box.
I test grey box sono eseguiti con la piena conoscenza del reparto IT dell’azienda target. Le informazioni sono condivise con il tester, per esempio diagrammi di rete, indirizzi IP e configurazioni di sistema. L’approccio di questo metodo e’ la verifica sulla sicurezza della tecnologia presente.
Un test black box, invece, rappresenta piu’ propriamente l’azione di un hacker che tenta di ottenere accesso non autorizzato ad un sistema. Il dipartimento IT non sa nulla del test eseguito e al tester non vengono fornite informazioni sull’ambiente di destinazione. Il metodo black box valuta sia la tecnologia sottostante sia le persone e i processi coinvolti per identificare e bloccare un attacco cosi’ come avverrebbe nel mondo reale.
Fasi del Pentest
- Fase 1: Analisi
- Viene analizzato il sistema, studiandone punti di forza e debolezza. Vengono raccolte tutte le informazioni preliminari. Questo, ovviamente, non avviene se si tratta di un pentest di tipo grey box.
- Fase 2: Scansione
- Viene scansionata tutta l’infrastruttura per trovare i punti deboli su cui concentrarsi.
- Fase 3: Pianificazione
- Grazie alle informazioni raccolte, si pianifica con quali strumenti e tecniche usare per colpire il sistema. Le possibilita’ sono moltissime e si tratta sia di tecniche prettamente tecnologiche che di ingegneria sociale.
- Fase 4: Attacco vero e proprio
- In questa fase i tester cercano di sfruttare le vulnerabilita’ individuate per ottenere il pieno controllo del sistema preso di mira.
Report
Anche al termine del Penetration Test viene compilato un rapporto che riporta nel dettaglio tutto il processo eseguito e comprende:
- valutazione dell’impatto di un reale attacco sull’azienda
- soluzioni per risolvere i problemi e mettere in sicurezza i sistemi delle reti informatiche
Un Penetration Test che non va a buon fine e’ segno che il sistema preso in esame e’ sicuro* e i dati al suo interno non rischiano nulla. Questo pero’ non significa che l’azienda sara’ protetta per sempre da ogni attacco: proprio perche’ le strategie degli hacker evolvono costantemente, e’ importante eseguire i Penetration Test regolarmente.
(*) Va precisato però che sebbene un buon Penetration Test segua delle linee guida o delle metodologie strutturare (es. OWASP) rimane un test a forte impatto soggettivo del Penetration Tester e del team che lo ha eseguito pertanto non si può escludere che ripetendo il test a carico di un gruppo di Penetration Tester differente non si abbiamo nuovi risultati. Inoltre, come è ben noto ai nostri lettori, nel campo della Cyber Security il concetto di “sicuro” in termini assoluti è inadeguato.
Come fare
Sebbene le Vulnerability Assessment e i Penetration Test abbiano obiettivi diversi, entrambi dovrebbero essere eseguiti regolarmente per verificare la sicurezza complessiva del sistema informatico.
La valutazione delle vulnerabilita’ dovrebbe essere effettuata spesso per identificare e correggere le vulnerabilita’ note. Il Pentest dovrebbe essere effettuato almeno una volta all’anno e sicuramente dopo significativi cambiamenti nell’ambiente IT, per identificare le possibili vulnerabilita’ sfruttabili che possono consentire l’accesso non autorizzato al sistema. Entrambi i servizi descritti in questo articolo sono disponibili tramite SOD, anche su base ricorsiva per garantire l’efficacia dei test. contattaci per saperne di piu’.
Link utili:
Vulnerability Assessment & Penetration Test
Sicurezza: pentest e verifica delle vulnerabilità
Tempo di lettura: 4 min
La sicurezza informatica di un sistema e’ molto importante per evitare spiacevoli inconvenienti dovuti ad attacchi malevoli. In linea di massima, non e’ sufficiente impostare un sistema di sicurezza completo, bisogna anche verificare che i suddetti sistemi funzionino. Per farlo ci si rivolge ai professionisti che possono svolgere dei pentest (penetration test) e fare una verifica della vulnerabilita’.
Per verificare la sicurezza di un sistema, si utilizzano due procedimenti specifici. Il primo, la verifica delle vulnerabilita’, si occupa di ricercare ed elencare le possibili brecce nell’infrastruttura. La seconda, il Penetration Test (PenTest), cerca di sfruttare le debolezze individuate per guadagnare l’accesso a un sistema chiuso.
In sostanza si tratta di fare quello che farebbe un malintenzionato: usare i suoi strumenti verificando la loro efficacia o meno sul sistema di sicurezza. Se queste operazioni vengono effettuate in ambiente controllato, sara’ possibile prendere provvedimenti prima che avvenga una reale intrusione dannosa.
Verifica delle vulnerabilita’
Noto come vulnerability assessment oppure VA, e’ il processo di identificazione delle minacce e delle vulnerabilita’ su una macchina specifica o una rete.
Il processo avviene tendenzialmente nelle seguenti fasi:
- Analisi delle caratteristiche
- Utilizzando software automatici per velocizzare il processo, si individuano quali sono le caratteristiche generali di un obiettivo.
- Identificazione dei punti deboli
- Si individuano quali siano i punti deboli che potrebbero essere sfruttati per colpire l’obiettivo.
- Test manuali specifici
- Talvolta si effettuano una serie di test manuali con strumenti specifici. Questo per valutare ulteriormente la sicurezza di specifiche applicazioni o reti e per verificare le vulnerabilita’ rilevate in precedenza.
- Redazione di un report
- Dopo aver individuato quali siano i punti deboli di un obiettivo, viene redatto un documento in cui si dichiarano i risultati.
Una verifica delle vulnerabilita’ ha importanza se intesa come verifica proattiva svolta ciclicamente. Scoprire le vulnerabilita’ per poter poi riparare i problemi individuati, e’ fondamentale nell’ambito di un programma di gestione della sicurezza.
Un serio programma di gestione della sicurezza, include anche i penetration test. Tuttavia, questi ultimi saranno richiesti meno frequentemente rispetto al VA. La verifica delle vulnerabilita’ dovrebbe essere eseguita di frequente. Solo in questo modo si e’ certi di identificare immediatamente i punti deboli di un sistema e ridurre le possibilita’ di attacco riuscito.
Pentest
Un test di penetrazione, o PenTest, si compone di una serie di processi manuali. In generale, l’obiettivo finale di un hacker etico che compie un test di questo tipo, e’ ottenere l’accesso non autorizzato a un obiettivo. Per farlo, vengono utilizzate anche le vulnerabilita’ scoperte nella fase di verifica.
Un pentest e’ spesso richiesto in vari scenari che possono includere:
- – il lancio di una nuova applicazione
- – un importante cambiamento o aggiornamento della rete
- – adattamento a nuove normative di conformita’
- – una violazione dovuta a un attacco mirato
Poiche’ sono varie le ragioni per condurre un pentest, gli obiettivi che ci si pone possono spesso differire anche di parecchio.
Chi esegue di solito un pentest / VA?
I tecnici che se ne occupano sono degli hacker, ovviamente i cosiddetti white-hats, quelli che sfruttano le loro conoscenze a fin di bene. Una squadra di pentester potrebbe comunque avere un background estremamente vario per quanto riguarda l’educazione e l’esperienza.
Quello che importa davvero e’ che abbiano tutti una cosa in comune: la passione per la sicurezza e la grande curiosita’ nel trovare e mettere alla prova le debolezze di un sistema.
Il lavoro potrebbe essere automatizzato?
La risposta breve e’: si’ e no. Ci sono alcune fasi che avvengono automaticamente e altre che richiedono l’intervento di un tecnico.
La fase principale di una valutazione delle vulnerabilita’ e’ svolta da un’applicazione automatizzata che eseguira’ i controlli su una rete, applicazione o codice. L’intera esecuzione di questa fase e’ automatica. Pero’, l’impostazione di questo passaggio e il successivo reporting sono tutte azioni manuali.
Inoltre, un pentest richiede molto piu’ lavoro manuale e non e’ automatizzabile. Puo’ capitare, infatti, che durante un pentest si riscontrino nuove brecce che prima non erano state individuate.
La maggior parte di un pentest è frutto di lavoro manuale da parte dei tester. I software utilizzati possono solo fornire dati che poi andranno analizzati a fondo dai tecnici.
Il test manuale di un’applicazione di grandi dimensioni puo’ richiedere parecchio tempo, risorse e molte conoscenze precedenti sull’architettura delle web-app e sui framework di test utilizzati.
Sicurezza informatica
Il tema della sicurezza viene solitamente a galla solo quando e’ troppo tardi e un attacco e’ gia’ stato effettuato. Se c’e’ la necessita’ di gestire dati sensibili, reti complesse o si vuole semplicemente essere sicuri di non subire danni, pianificare azioni di verifica dell’infrastruttura e’ di vitale importanza.
Se sei interessato alla sicurezza della tua web app o rete aziendale, contattaci.
Link utili:
Vulnerability Assessment & Penetration Test
Servizi cloud per le piccole imprese locali
La storia di Secure Online Desktop(Si apre in una nuova scheda del browser)
Customers
Twitter FEED
Recent activity
-
SecureOnlineDesktop
Estimated reading time: 6 minutes L'impatto crescente delle minacce informatiche, su sistemi operativi privati op… https://t.co/FimxTS4o9G
-
SecureOnlineDesktop
Estimated reading time: 6 minutes The growing impact of cyber threats, on private or corporate operating systems… https://t.co/y6G6RYA9n1
-
SecureOnlineDesktop
Tempo di lettura stimato: 6 minuti Today we are talking about the CTI update of our services. Data security is… https://t.co/YAZkn7iFqa
-
SecureOnlineDesktop
Estimated reading time: 6 minutes Il tema della sicurezza delle informazioni è di grande attualità in questo peri… https://t.co/tfve5Kzr09
-
SecureOnlineDesktop
Estimated reading time: 6 minutes The issue of information security is very topical in this historical period ch… https://t.co/TP8gvdRcrF
Newsletter
{subscription_form_2}Prodotti e Soluzioni
Collaborazioni
Modelli Cloud
News
- Da Secure Online Desktop a Cyberfero: il rebranding dell’azienda leader nella cybersecurity Maggio 6, 2024
- NIS2 – Come il nuovo regolamento cyber potenzia la sicurezza dell’Europa Aprile 22, 2024
- Advanced persistent threat (APT): cosa sono e come difendersi Aprile 17, 2024
- Penetration Testing e MFA: Una Strategia Duplice per Massimizzare la Sicurezza Aprile 15, 2024
- SOAR e l’automazione della sicurezza informatica Marzo 27, 2024
Recensioni Google
Ottima azienda, servizi molto utili, staff qualificato e competente. Raccomandata!leggi di più
Ottimo supportoleggi di più
E' un piacere poter collaborare con realtà di questo tipoleggi di più
Un ottimo fornitore.
Io personalmente ho parlato con l' Ing. Venuti, valore aggiunto indubbiamente.leggi di più
Contatti
© 2024 Cyberfero s.r.l. All Rights Reserved. Sede Legale: via Statuto 3 - 42121 Reggio Emilia (RE) – PEC [email protected] Cod. fiscale e P.IVA 03058120357 – R.E.A. 356650 Informativa Privacy - Certificazioni ISO