Un penetration test verifica la sicurezza con prove autorizzate. Scopri come si svolge, quali risultati chiedere e come valutare competenze e certificazioni. Un'azienda può avere firewall, backup e autenticazione a più fattori e conservare comunque percorsi di accesso inattesi. Il penetration test, spesso abbreviato in pentest, serve a verificare con metodo quali debolezze siano concretamente utilizzabili e quali conseguenze possano produrre. Il risultato utile è una decisione: cosa correggere, perché e come verificare la correzione. Che cos'è un penetration test È una valutazione tecnica autorizzata, svolta entro un perimetro e un periodo concordati. Il tester formula ipotesi sulle debolezze, le verifica con prove controllate e documenta ciò che ha osservato. La guida del NCSC al penetration testing lo colloca fra gli strumenti di verifica della sicurezza, evidenziandone anche i limiti. Non è una garanzia permanente: fotografa gli elementi verificati nelle condizioni del test. Una nuova versione dell'applicazione, un cambio di configurazione o un accesso aggiunto successivamente possono modificare il rischio. Nel report devono quindi essere riconoscibili sia i risultati sia ciò che è rimasto fuori dall'incarico. Pentest, vulnerability assessment e red team Un vulnerability assessment cerca e valuta debolezze, spesso usando strumenti automatici affiancati da analisi. Un pentest approfondisce la possibilità di sfruttarle e il relativo impatto, nei limiti concordati. Una scansione è uno strumento: da sola non dimostra di aver completato l'intero lavoro. Un'esercitazione red team può invece partire da un obiettivo operativo, come verificare se l'organizzazione rileva e gestisce un percorso di intrusione simulato. Non è semplicemente un pentest con un nome più moderno. Puoi approfondire la distinzione nell'articolo su white hat, ethical hacker e red team. Come viene eseguito Il lavoro comincia dalle domande da verificare e dagli asset inclusi. Seguono raccolta di informazioni, individuazione delle debolezze, validazione controllata e comunicazione dei risultati. Il documento NIST SP 800-115 offre un riferimento metodologico per pianificare valutazioni tecniche e trasformare i risultati in interventi di mitigazione. Esempio: uno studio professionale vuole sapere se il proprio portale separa correttamente i documenti dei clienti. Si preparano utenti di prova, fascicoli fittizi e operazioni consentite. Il tester verifica le regole di accesso e consegna evidenze comprensibili al team che deve correggere il portale. Cercare indiscriminatamente problemi su tutta la rete non risponderebbe alla stessa domanda. Che cosa chiedere prima di acquistarlo Chiedi quali componenti verranno testati, con quali accessi, per quanto tempo e da chi. Concorda come ricevere una segnalazione urgente e se il prezzo include una verifica delle correzioni. Fai descrivere i risultati attesi: una relazione tecnica, una sintesi per i responsabili e una copertura esplicita sono più valutabili di una promessa generica di "sicurezza completa". Un inventario IT attendibile aiuta a definire il perimetro. Dopo il test, il patch management e la gestione delle configurazioni trasformano i rilievi in lavoro concreto. Dieci articoli per comprendere il percorso Questa guida apre una collana che accompagna sia chi commissiona un test sia chi vuole intraprendere il mestiere: • Autorizzazione, scope e regole d'ingaggio: cosa definire prima delle prove. • Black box, gray box e white box: quali informazioni riceve il tester. • Le fasi di un penetration test: come si passa dalle ipotesi alle evidenze. • Pentest di applicazioni web e API: identità, permessi e logica applicativa. • Report, priorità e retest: come usare i risultati. • CEH, CEH Practical e CEH Master: cosa attestano le credenziali EC-Council. • Certificazioni per penetration tester: come confrontare percorsi diversi. • White hat, red hat ed ethical hacker: terminologia e responsabilità. • Diventare penetration tester: basi, laboratori e portfolio. Domande frequenti Serve sempre lavorare in produzione? Dipende dalla domanda e dai vincoli. Un ambiente di prova può consentire verifiche più ampie; la sua somiglianza con la produzione va però esplicitata. Una certificazione permette di testare qualsiasi sistema? No: una credenziale attesta un percorso o una prova d'esame, mentre l'autorizzazione riguarda quello specifico incarico. Quando il test può dirsi utile? Quando i destinatari comprendono le debolezze, le prendono in carico e riescono a verificare gli interventi. Il numero di vulnerabilità, da solo, non misura la qualità del servizio.