White hat ed ethical hacker sono termini vicini; red hat e red team indicano concetti diversi. Ecco come distinguere etichette, ruoli e attività autorizzate. Il colore del "cappello" può aiutare a orientarsi, ma non descrive da solo competenze, autorizzazioni o qualità di un incarico. La guida ai penetration test parte dal lavoro concreto. Qui separiamo le espressioni che si incontrano più spesso. White hat ed ethical hacker White hat viene usato per chi impiega competenze tecniche per migliorare la sicurezza con autorizzazione e condizioni concordate. Ethical hacker descrive lo stesso orientamento professionale: individuare debolezze e aiutare a correggerle, rispettando il perimetro e la gestione delle informazioni. Il glossario ESET collega esplicitamente queste espressioni. L'ethical hacking può comprendere attività più ampie di un singolo pentest. Un professionista può occuparsi di valutazioni, ricerca o supporto alla sicurezza applicativa. La descrizione IBM dell'ethical hacking ne illustra il rapporto con autorizzazione, riservatezza e collaborazione con l'organizzazione. CEH indica invece una credenziale specifica di EC-Council. Essere ethical hacker e possedere quella certificazione non sono definizioni intercambiabili. Puoi approfondire il punto nella guida a CEH e CEH Practical. Black hat e gray hat Black hat indica comunemente attività malevole, mentre gray hat viene usato per situazioni in cui la finalità dichiarata non coincide con un'attività autorizzata. L'intenzione di aiutare non basta a definire un incarico professionale: contano accordi, perimetro e comportamento osservabile. Queste etichette non costituiscono una graduatoria tecnica. Una persona competente può lavorare in modo scorretto; un professionista responsabile deve anche riconoscere i propri limiti e segnalare quando una prova esce da ciò che è stato concordato. Red hat: un'etichetta informale In alcuni glossari red hat descrive una figura di vigilante che contrasta soggetti malevoli con azioni aggressive, anche oltre le regole. ESET usa il termine in questo senso. Non è il nome di una certificazione professionale di pentesting e non va confuso con l'azienda Red Hat o con i suoi percorsi sui sistemi Linux. La distinzione pratica è semplice: promettere di colpire un aggressore non equivale a un servizio di valutazione della sicurezza autorizzato. Quando scegli un fornitore, chiedi obiettivi, procedure ed evidenze; un'etichetta suggestiva non risponde a queste domande. Red team: una funzione di valutazione Un red team simula attività avversarie entro un incarico concordato, spesso per verificare anche rilevamento e risposta. CISA descrive queste finalità nel resoconto di una propria valutazione red team. Il blue team si occupa della difesa; la collaborazione fra competenze offensive e difensive può aiutare a correggere ciò che l'esercitazione rivela. Esempio: un'azienda vuole sapere se una sequenza simulata viene rilevata dal proprio monitoraggio. Il gruppo incaricato e i referenti concordano obiettivo e limiti. Dopo l'esercizio, si confrontano eventi prodotti, alert e azioni del supporto. Il risultato è diverso da una lista di vulnerabilità su una sola applicazione. Come usare correttamente i termini In un curriculum o preventivo descrivi attività, esperienza e credenziali verificabili. Chiedi quale lavoro verrà svolto e come sarà documentato. Per commissionarlo, parti dalle regole d'ingaggio del pentest; per valutare il percorso professionale, consulta il confronto fra certificazioni per penetration tester e la guida ai laboratori di apprendimento.