Penetration Test

Il penetration testing, spesso chiamato semplicemente pentesting o security testing, è la pratica di attaccare i sistemi propri, o dei propri clienti, nello stesso modo in cui un hacker lo farebbe, per scovare falle nei sistemi o buchi nella sicurezza. Certamente, lo si fa senza l’intenzione di danneggiare l’intero network di lavoro.

La persona che sovlge il Penetration test è chiamato Penetration Tester o in gergo, Pentester.

Chiariamo una cosa: I Penetration test richiedono apposite autorizzazioni da parte del proprietario dei sistemi informatici in esame. In caso contrario, voi state hackerando il sistema, ed è considerata una pratica illegale in molti paesi. E fidatevi, non state bene con una divisa arancione addosso.

In altre parole: La differenza tra il Penetration testing e l’hacking sta nei permessi, nel primo caso siete autorizzati a farlo (con un permesso scritto – manleva), e persino pagati. Nel secondo caso è una vostra iniziativa, considerata illegale.
Lo scopo dei Pen Test è quello di valutare i rischi per la sicurezza, presentando a fine lavoro un report che elenchi ogni azione svolta sui sistemi del cliente (l’attaccato), specificando ogni azione intrapresa sui sistemi e le vulnerabilità riscontrate. Tutto questo mette in luce possibili bachi di sicurezza e aspetti da migliore nell’intera gestione dell’azienda.

Tra la tipologia di software più conosciuti per effettuare Penetration Test, abbiamo i Vulnerability Scanner che rilevano le vulnerabilità e i framework per l’exploit (Metasploit) che le sfruttano. Ma oltre a questi strumenti automatici, è importante che un penetration test venga condotto da una schiera di professionisti, capaci e con molta esperienza nel settore. A tal motivo da non molti anni son stati introdotti veri e propri certificati che attestino l’affidabilità di chi conduce l’attacco.