Con Penetration Test o Pen Test si fa riferimento all'esecuzione di attacchi controllati di una rete o di un'applicazione per identificare tutte le potenziali vulnerabilità di sicurezza che un utente malintenzionato potrebbe sfruttare.
Il Penetration Test può essere eseguito in modo automatizzato e manuale. In entrambi i casi il processo prevede la raccolta di informazioni sull'obiettivo, eseguendo come prima fase il vulnerability assessment che permette di valutare tutte le potenziali vulnerabilità dei sistemi e delle applicazioni per poi analizzarle e sfruttarle per accedere a informazioni riservate, e in certi casi ottenere il totale controllo dell'infrastruttura.
L'obiettivo principale è l'identificazione di punti deboli della sicurezza. Inoltre, può essere eseguito per convalidare le policy di sicurezza di un'organizzazione e i requisiti di conformità normativi.
Le informazioni sulle vulnerabilità identificate vengono divulgate al personale tecnico dell'organizzazione, consentendo di prendere decisioni strategiche e dare priorità alle attività di risanamento.
L'importanza del Penetration Test è ancor più evidente ora che il regolamento generale sulla protezione dei dati (GDPR) è entrato in pieno vigore.
Il Penetration Test è una delle misure menzionate dall'articolo 32 del Regolamento, che delinea l'esigenza di istituire una procedura per testare, verificare e valutare regolarmente l'efficacia delle misure tecniche e organizzative eseguendo analisi delle vulnerabilità e valutazione di rischi.
Il Penetration test esamina l'efficacia reale dei controlli di sicurezza esistenti. I regolari test automatizzati e manuali determinano le debolezze dell'infrastruttura, software, fisiche e persino del personale.
Convalida le policy di sicurezza se soddisfano i requisiti di conformità. Evidenzia le vulnerabilità impossibili da rilevare con sistemi automatizzati o software di scansione.
Determina la fattibilità di un particolare insieme di vettori di attacco. Identifica le vulnerabilità a rischio più elevato risultanti da vulnerabilità a rischio più basso combinate tra loro.
Convalida il reale impatto di rischio operativo derivante da attacchi di successo. Testa la capacità di difesa della rete di rilevare e rispondere con successo all'attacco.
Implementa e valida nuovi controlli di sicurezza messi in atto. Aiuta l'azienda a sviluppare difese efficaci e misurabili nel tempo.
La valutazione e l'esecuzione del Penetration Test è condotta in conformità con i consigli descritti nel documento NIST SP 800-115 e seguendo quanto definito nell'Open Source Security Testing Methodology OSSTMM. L'identificazione delle vulnerabilità delle applicazioni web è basata su metodologia OWASP TOP 10.
Al termine dell'attività di sicurezza, viene redatto un report completo che illustra in modo chiaro e dettagliato tutte le vulnerabilità individuate, il livello di rischio associato e le raccomandazioni tattiche e strategiche per un miglioramento immediato.
Il report include un'analisi dei rischi basata sui fatti per convalidare i risultati, fornendo sia un documento di sintesi per il management che documentazione tecnica approfondita da divulgare al personale IT.
Verifica se le misure che hai preso per proteggere la tua organizzazione sono realmente efficaci nella pratica. I nostri hacker etici eseguono un attacco realistico che mette alla prova tutti gli aspetti della tua organizzazione.