Che cos'è un test di penetrazione?
Un test di penetrazione è un tipo di valutazione della sicurezza eseguita su un sistema informatico in cui la persona che esegue la valutazione tenta di hackerare il sistema. L'obiettivo del test è determinare se qualcuno con intenzioni dannose può entrare nel sistema e a cosa può accedere dopo che il sistema è stato penetrato. I test di penetrazione sono offerti da una serie di aziende specializzate nella sicurezza dei sistemi informatici e sono spesso fortemente raccomandati per sistemi e aziende di tutte le dimensioni, poiché i danni a un sistema informatico causati da un attacco ostile possono essere costosi e imbarazzanti.
Esistono diversi approcci al test di penetrazione. In un approccio a scatola nera, non vengono fornite informazioni sul sistema alla persona che esegue il test. Lui o lei parte da zero per cercare potenziali exploit e irrompere nel sistema. In un test in white box, vengono fornite tutte le informazioni, consentendo al tester di simulare un lavoro interno o una perdita di informazioni. Alcune aziende scelgono un approccio ibrido, in cui vengono fornite alcune informazioni e altre informazioni devono essere ricercate.
Nel corso di un test di penetrazione, l'esperto di sicurezza può simulare la cancellazione o l'alterazione di dati, il furto di file, l'inserimento di codice dannoso e una varietà di altre attività. Il test di penetrazione può rallentare il sistema, il che rende importante la tempistica del test; le aziende vogliono evitare di interferire con le proprie operazioni quando eseguono valutazioni di sicurezza.
Le persone che eseguono test di penetrazione hanno una vasta libreria di competenze informatiche, e alcuni hanno una storia come hacker che li ha familiarizzati con i numerosi modi in cui i sistemi informatici possono essere sfruttati. Assumere hacker qualificati come consulenti per la sicurezza può effettivamente essere una mossa aziendale molto esperta per un'azienda specializzata in sicurezza di computer e di rete, poiché gli hacker hanno spesso le conoscenze e le informazioni più aggiornate e sono abituati ad avvicinarsi ai sistemi informatici dal ruolo di qualcuno con cattiveria, piuttosto che il ruolo di un esperto di sicurezza interessato.
Per semplici test, è possibile utilizzare un sistema automatizzato per eseguire un test di penetrazione. Ciò riduce le spese e consente alle aziende di effettuare facilmente test casuali quando ritengono che potrebbe essere necessario. I test manuali sono più approfonditi e richiedono molto tempo, ma possono produrre risultati più completi. Un essere umano creativo e determinato può rilevare potenziali exploit che potrebbero mancare a un programma automatizzato.
Una volta concluso un test di penetrazione, i risultati vengono redatti e presentati al cliente. Insieme ai risultati, viene generato un elenco di raccomandazioni, con l'impresa di sicurezza che indica le aree in cui la sicurezza potrebbe essere migliorata e che fornisce suggerimenti per il miglioramento.