Un pentest procede da obiettivi e informazioni iniziali a prove controllate, evidenze e report. Ecco come si svolge il lavoro e quali verifiche lo rendono utile. La guida ai penetration test introduce il metodo. In questo articolo seguiamo un esempio: un'azienda vuole controllare il portale documentale usato dai clienti, con account e fascicoli fittizi predisposti per il test. 1. Preparare il lavoro Il tester chiarisce obiettivo, componenti, accessi e limiti. Controlla che le credenziali di prova funzionino e che esista un referente per i problemi urgenti. Se manca un ruolo fondamentale, lo segnala prima di iniziare: lavorare comunque può lasciare una parte importante senza copertura. Le regole d'ingaggio stabiliscono anche quando fermarsi. Il NIST SP 800-115 descrive un processo che collega pianificazione, individuazione delle debolezze, prove di attacco e comunicazione. Nella pratica il lavoro può tornare più volte su una fase quando emerge una nuova informazione. 2. Comprendere la superficie e formulare ipotesi Nel portale di esempio il tester osserva ruoli, flussi di accesso e operazioni sui documenti. Costruisce una mappa di ciò che è raggiungibile e distingue quanto è noto da quanto richiede ancora verifica. Strumenti di analisi e scansione aiutano a raccogliere segnali, ma non sostituiscono la comprensione delle regole del servizio. Un'ipotesi utile potrebbe essere: "Il controllo del ruolo viene applicato in modo coerente sia nell'interfaccia sia nelle operazioni richiamate dal client?". La prova deve verificare quella domanda senza utilizzare documenti reali non necessari. 3. Validare le debolezze Un avviso automatico non diventa subito una vulnerabilità confermata. Il tester distingue osservazioni, falsi positivi e comportamenti riproducibili. Quando una prova dimostra l'effetto richiesto dall'incarico, raccoglie l'evidenza sufficiente senza ampliare automaticamente l'accesso o i dati trattati. Nel nostro esempio un utente di prova vede un fascicolo fittizio assegnato a un altro. Il professionista registra condizioni, account, risposta osservata e comportamento atteso. Questo consente al team applicativo di capire il difetto e verificarne la correzione. 4. Valutare l'impatto e comunicare Il rilievo va collegato alle condizioni in cui si manifesta: autenticazione richiesta, ruolo coinvolto e operazioni disponibili. Il tester distingue ciò che ha dimostrato dalle conseguenze ipotizzate. Se il problema è urgente, lo comunica attraverso il canale concordato senza aspettare la fine della relazione. Per le applicazioni, la metodologia OWASP WSTG mette in relazione verifiche dei controlli, evidenze e comunicazione al proprietario del sistema. Non offre una promessa di copertura illimitata. 5. Chiudere e verificare gli interventi A fine attività si gestiscono account temporanei, dati di prova e artefatti secondo l'accordo. Il report documenta risultati e limitazioni; il retest verifica i difetti corretti nelle condizioni concordate. Non è automaticamente una nuova valutazione completa. Per seguire il lavoro, chiedi aggiornamenti sulla copertura e sugli impedimenti, non soltanto il conteggio dei problemi. Una fase bloccata da accessi mancanti è un'informazione da gestire. Prosegui con il pentest web e API per le verifiche applicative e con il report, priorità e retest per trasformare il risultato in interventi.