I test di penetrazione sono un modo per gli esperti di sicurezza informatica di testare un sistema simulando un attacco. Implica il tentativo intenzionale di superare la sicurezza esistente e può aiutare le aziende a scoprire se i loro sistemi possono resistere a un hack.
Se stai leggendo di sicurezza informatica, il termine test di penetrazione verrà fuori come un modo per vedere se i sistemi sono sicuri. Cos'è il test di penetrazione, però, e come funziona? Che tipo di persone eseguono questi test?
Cos'è il Pen Testing?
Il test di penetrazione, spesso indicato come test della penna, è una forma di hacking etico in cui i professionisti della sicurezza informatica attaccano un sistema per vedere se riescono a superare le sue difese, da qui la “penetrazione”. Se l'attacco ha successo, i pen tester segnalano al proprietario del sito di aver riscontrato problemi che potrebbero essere sfruttati da un utente malintenzionato.
Poiché l'hacking è etico, le persone che eseguono gli hack non vogliono rubare o danneggiare qualcosa. Tuttavia, è importante capire che in ogni modo oltre all'intento, i pen test sono attacchi. I pen tester useranno tutti i trucchi sporchi del libro per entrare in contatto con un sistema. Dopotutto, non sarebbe un gran test se non usassero tutte le armi che un vero aggressore userebbe.
Pen Test vs Vulnerability Assessment
In quanto tali, i test di penetrazione sono una bestia diversa rispetto a un altro popolare strumento di sicurezza informatica, le valutazioni di vulnerabilità. Secondo la società di sicurezza informatica Secmentis in un'e-mail, le valutazioni delle vulnerabilità sono scansioni automatizzate delle difese di un sistema che evidenziano potenziali punti deboli nella configurazione di un sistema.
Un pen test cercherà effettivamente di vedere se un problema potenziale può essere trasformato in un problema reale che può essere sfruttato. Pertanto, le valutazioni della vulnerabilità sono una parte importante di qualsiasi strategia di test con penna, ma non offrono la certezza che fornisce un vero test con penna.
Chi esegue i pen test?
Ovviamente, ottenere questa certezza significa che devi essere abbastanza abile nell'attaccare i sistemi. Di conseguenza, molte persone che lavorano nei test di penetrazione sono essi stessi hacker black hat riformati. Ovidiu Valea, ingegnere senior della sicurezza informatica presso la società di sicurezza informatica con sede in Romania CT Defense, stima che gli ex cappelli neri potrebbero costituire fino al 70% delle persone che lavorano nel suo campo.
Secondo Valea, che è lui stesso un ex cappello nero, il vantaggio di assumere persone come lui per combattere gli hacker malintenzionati è che “sanno come pensare come loro”. Essendo in grado di entrare nella mente di un utente malintenzionato, può più facilmente “seguire i suoi passi e trovare le vulnerabilità, ma lo segnaliamo all'azienda prima che un hacker malintenzionato lo sfrutti.”
Nel caso di Valea e CT Defense, vengono spesso assunti dalle aziende per aiutare a risolvere eventuali problemi. Lavorano con la conoscenza e il consenso dell'azienda per violare i loro sistemi. Tuttavia, esiste anche una forma di test con penna eseguita da freelance che attaccheranno i sistemi con le migliori motivazioni, ma non sempre con la conoscenza delle persone che gestiscono quei sistemi.
RELATEDCos'è un Bug Bounty e come puoi richiederne uno?
Questi liberi professionisti guadagnano spesso raccogliendo le cosiddette taglie tramite piattaforme come Hacker One. Alcune aziende, ad esempio molte delle migliori VPN, pubblicano ricompense permanenti per eventuali vulnerabilità rilevate. Trova un problema, segnalalo, fatti pagare. Alcuni freelance arrivano persino ad attaccare le aziende che non si sono iscritte e sperano che il loro rapporto venga pagato.
Valea avverte che questo non è il modo per tutti, però. “Puoi lavorare per diversi mesi e non trovare nulla. Non avrai soldi per l'affitto.” Secondo lui, non solo devi essere molto bravo a trovare le vulnerabilità, ma con l'avvento degli script automatizzati non è rimasto molto frutto.
Come funzionano i Penetration Test?
Sebbene i freelance che guadagnano trovando bug rari o eccezionali ricordano un po' un'avventura digitale di cappa e spada, la realtà quotidiana è un po' più concreta. Questo non vuol dire che non sia eccitante, però. Per ogni tipo di dispositivo esiste una serie di test utilizzati per vedere se può resistere a un attacco.
In ogni caso, i pen tester cercheranno di decifrare un sistema con tutto ciò a cui riescono a pensare. Valea sottolinea che un buon tester di penna trascorre molto del suo tempo semplicemente leggendo i rapporti di altri tester non solo per rimanere aggiornati su ciò che potrebbe fare la concorrenza, ma anche per trarre ispirazione per i propri imbrogli.< /p> RELATEDPerché ci sono così tante misure di sicurezza zero-day Buchi?
Tuttavia, ottenere l'accesso a un sistema è solo una parte dell'equazione. Una volta dentro, i tester di penna, nelle parole di Valea, “cercheranno di vedere cosa può farci un malintenzionato.” Ad esempio, un hacker vedrà se ci sono file non crittografati da rubare. Se questa non è un'opzione, un buon tester proverà a vedere se è possibile intercettare le richieste o persino decodificare le vulnerabilità e magari ottenere un accesso maggiore.
Sebbene non sia una conclusione scontata, il nocciolo della questione è che una volta dentro non c'è molto che puoi fare per fermare un aggressore. Hanno accesso e possono rubare file e distruggere le operazioni. Secondo Valea, “le aziende non sono consapevoli dell'impatto che una violazione può avere, può distruggere un'azienda.”
Come posso proteggere i miei dispositivi?
Sebbene le organizzazioni dispongano di strumenti e risorse avanzati come i pen test per salvaguardare le loro operazioni, cosa puoi fare per stare al sicuro come consumatore quotidiano? Un attacco mirato può ferirti altrettanto, anche se in modi diversi da quelli subiti da un'azienda. Un'azienda che fa trapelare i suoi dati è sicuramente una cattiva notizia, ma se succede alle persone può rovinare la vita.
Anche se il test della penna sul tuo computer è probabilmente fuori dalla portata della maggior parte delle persone, e probabilmente non necessario, ci sono alcuni ottimi e semplici consigli sulla sicurezza informatica che dovresti seguire per assicurarti di non cadere vittima degli hacker. Prima di tutto, probabilmente dovresti testare eventuali link sospetti prima di fare clic su di essi, poiché sembra essere un modo molto comune con cui gli hacker attaccano il tuo sistema. E, naturalmente, un buon software antivirus eseguirà la scansione alla ricerca di malware.
The Best Antivirus Software of 2022
Il miglior software antivirus in assoluto Bitdefender Internet Security Acquista ora Il miglior software antivirus gratuito Avira Free Security Acquista ora 
Il miglior software antivirus per Windows Malwarebytes Premium Acquista ora Il miglior software antivirus per Mac Intego Mac Internet Security X9 Acquista ora Il miglior software antivirus per Android Bitdefender Mobile Security Acquista ora LEGGI SUCCESSIVO
- › Ottieni una Apple Pencil di seconda generazione al prezzo più basso di sempre
- › Tumblr e Flickr potrebbero unirsi a “Fediverse” Rete
- › Stable Diffusion 2 è qui, ma non tutti sono contenti
- › 12 funzioni AirPods che dovresti usare
- › Come aggiungere una linea di tendenza in Fogli Google
- › La posta e il calendario di Proton stanno migliorando ulteriormente