Quali sono i diversi tipi di metodologia del test di penetrazione?
Esistono essenzialmente due tipi principali di metodologie di test di penetrazione - standard interni e di settore - sebbene all'interno di esse vi sia un numero quasi illimitato di variazioni. Una metodologia interna è quella sviluppata da un'azienda, in genere quella che esegue il test, per essere utilizzata dai suoi dipendenti. Le metodologie standard di settore, d'altra parte, sono quelle sviluppate dalle principali organizzazioni di sicurezza per l'uso da parte di altre società nel tentativo di elaborare una metodologia standard universalmente riconosciuta e approvata. Entrambi i tipi di metodologia del test di penetrazione possono essere efficaci e il migliore per qualsiasi particolare test di penetrazione di solito dipende molto dalla persona che esegue il test.
Una metodologia di test di penetrazione è una serie di regole o linee guida utilizzate per eseguire test di penetrazione su un sistema informatico o una rete. Questo tipo di test viene in genere eseguito per determinare quali possibili punti deboli potrebbero esserci in un sistema che può essere utilizzato dagli hacker per lanciare un attacco a quel sistema. Una volta completata questa analisi iniziale, il tester in genere lancia un attacco simulato contro il sistema per determinare quanto siano vulnerabili tali punti deboli. Una metodologia di test di penetrazione viene spesso utilizzata per determinare come deve essere condotta questa sequenza di valutazione e test e per fornire ai tester linee guida per documentare la procedura.
Uno dei tipi più comuni di metodologia di test di penetrazione è una metodologia interna. Questo è un documento creato da un'azienda per essere utilizzato dai suoi dipendenti mentre eseguono test di penetrazione su un sistema. Una metodologia interna di test di penetrazione può essere preparata da una società che ha assunto qualcuno per eseguire test sul proprio sistema o da una società che noleggia i propri servizi ad altre aziende per testarli. Questo tipo di metodologia può essere preferito da alcuni tester, poiché in seguito si assicura che eventuali reclami che il cliente potrebbe avere riguardo al test possano essere contestati usando la metodologia fornita dal client per il tester.
Una metodologia di test di penetrazione standard del settore, d'altra parte, è un documento creato da una società di sicurezza informatica per l'uso da parte di altri tester. Questo tipo di metodologia è generalmente destinato all'uso da parte di tester non impiegati dall'azienda che l'ha creato. Uno dei vantaggi di questo tipo di metodologia è che i tester possono più facilmente indicare un singolo metodo unificato attraverso il quale possono apprendere e dimostrare la propria competenza. I difetti con una metodologia di test di penetrazione standard del settore, tuttavia, sono che le aziende potrebbero non apprezzare tutti i metodi impostati in esso e può essere difficile determinare quale metodo agisce davvero come uno standard del settore.