Home › Penetration test: cos'è, come funziona e quando serve

Penetration test: cos'è, come funziona e quando serve

Un penetration test è una simulazione di attacco informatico, autorizzata e controllata, in cui un professionista cerca di sfruttare le vulnerabilità di sistemi, applicazioni o reti come farebbe un vero hacker. Lo scopo è scoprire quali falle sono davvero sfruttabili e quale danno potrebbero causare, prima che lo faccia qualcun altro. Il risultato è un report con priorità e rimedi concreti.

Cos'è un penetration test e a cosa serve

Il penetration test, spesso abbreviato in "pentest", misura la resistenza reale di un'organizzazione. Non si limita a elencare problemi teorici: prova a concatenarli per raggiungere un obiettivo, come accedere a dati riservati o prendere il controllo di un server.

Per un'azienda di Milano, dove la presenza di studi professionali, e-commerce, aziende di servizi e filiere industriali espone molti sistemi su internet, questo approccio aiuta a distinguere i rischi reali da quelli solo ipotetici. Aiuta anche a decidere dove investire il budget di sicurezza.

Un penetration test serve in particolare a:

• verificare se i controlli di sicurezza esistenti funzionano davvero;
• individuare percorsi di attacco che l'analisi automatica non vede;
• dimostrare l'impatto concreto di una falla a chi decide il budget;
• supportare requisiti di conformità e audit di clienti e partner;
• testare la capacità di rilevamento e risposta del team interno.

Vulnerabilità, exploit e zero day: le basi da conoscere

Per capire cosa fa un tester servono tre concetti che spesso vengono confusi. Conoscerli rende anche più leggibile il report che si riceve al termine del lavoro.

La differenza tra vulnerabilità ed exploit

Una vulnerabilità è un punto debole: un errore di programmazione, una configurazione sbagliata, una password banale. L'exploit è lo strumento, il codice o la tecnica che sfrutta quel punto debole per ottenere un risultato non previsto, come eseguire comandi o leggere dati. In sintesi, la vulnerabilità è la porta lasciata socchiusa, l'exploit è il modo di spingerla.

Come funziona un exploit informatico

Un exploit invia al sistema un input costruito ad arte, che il software gestisce in modo errato. Il programma può così saltare un controllo di accesso, esporre informazioni o eseguire istruzioni dell'attaccante. Dopo l'ingresso iniziale, l'attaccante tenta spesso di ottenere privilegi più alti e di spostarsi su altri sistemi della rete.

Cos'è una vulnerabilità zero day

Una vulnerabilità zero day è una falla sconosciuta al produttore, o per cui non esiste ancora una correzione disponibile. Per questo è particolarmente pericolosa: non c'è una patch da installare. Un penetration test non può "scoprire" per forza uno zero day, ma verifica se l'architettura limita i danni, con segmentazione della rete, privilegi minimi e monitoraggio efficaci.

Penetration test e vulnerability assessment: quali differenze

Le due attività sono complementari, ma rispondono a domande diverse. Il vulnerability assessment cerca e cataloga le vulnerabilità note, di solito con scanner automatici e una verifica successiva. Il penetration test va oltre: prova a sfruttarle, a combinarle e a valutare l'impatto.

Nella pratica, la gestione delle vulnerabilità è un processo continuo: si scansiona con regolarità, si correggono le falle in base alla priorità e si usa il penetration test per validare che le difese reggano davvero.

Come si svolge un penetration test, fase per fase

Ogni fornitore ha una propria metodologia, ma lo schema di base è abbastanza comune. Chiedere di vederlo per iscritto è il primo segnale di serietà.

1. Definizione del perimetro: si stabiliscono sistemi inclusi, orari, modalità e contatti di emergenza, con autorizzazione scritta.
2. Raccolta di informazioni: il tester individua ciò che un attaccante potrebbe scoprire su domini, servizi esposti e persone.
3. Analisi delle vulnerabilità: si identificano i punti deboli candidati allo sfruttamento.
4. Sfruttamento controllato: si prova a usare le falle per ottenere accessi o dati, evitando interruzioni non concordate.
5. Post-exploitation: si valuta fin dove ci si può spingere, per esempio verso altri sistemi o dati sensibili.
6. Report e restituzione: si consegnano evidenze, gravità, impatto e raccomandazioni, e si discute con i referenti.
7. Verifica delle correzioni: un retest conferma che i problemi siano stati risolti.

Black box, grey box e white box

Il tester può partire senza informazioni (black box), con dati parziali come un account utente (grey box) o con piena conoscenza dell'architettura (white box). La scelta dipende dallo scenario che si vuole simulare: un estraneo, un dipendente o un collaboratore con accessi privilegiati.

Quali attacchi aiuta a prevenire

Il valore del penetration test si vede soprattutto quando riproduce tecniche realmente usate dai criminali. Due esempi sono particolarmente utili da capire.

SQL injection: cos'è e come difendersi

La SQL injection avviene quando un'applicazione inserisce nei comandi del database dati forniti dall'utente senza controllarli. Un attaccante può così leggere, modificare o cancellare informazioni. Durante un penetration test web, i campi di ricerca, i moduli di login e i parametri degli indirizzi sono tra i primi punti verificati.

Le difese principali sono le query parametrizzate, la validazione degli input, i privilegi minimi per l'utente del database e l'aggiornamento dei componenti. Un firewall applicativo può ridurre il rischio, ma non sostituisce un codice scritto in modo sicuro.

Come vengono sfruttate le vulnerabilità dai ransomware

I gruppi ransomware di solito non partono da tecniche sofisticate. Entrano tramite servizi esposti non aggiornati, accessi remoti poco protetti, credenziali rubate o email di phishing. Una volta dentro, aumentano i privilegi, si muovono sulla rete, cercano i backup e solo alla fine cifrano i dati.

Un penetration test ripercorre proprio questa catena. Mostra se un singolo accesso compromesso può diventare un'emergenza aziendale e quali barriere intermedie, come segmentazione, autenticazione a più fattori e backup isolati, mancano.

Come scegliere un penetration test e dove informarsi sugli attacchi reali

Prima di richiedere un'offerta, definisci cosa vuoi proteggere: sito, applicazione gestionale, rete interna, accessi remoti. I costi e i tempi dipendono dal perimetro e dalla complessità, quindi diffida di prezzi standard proposti senza aver analizzato l'ambiente.

Verifica inoltre che il fornitore:

• lavori con contratto, perimetro e regole d'ingaggio scritti;
• garantisca la riservatezza dei dati incontrati durante il test;
• mostri un esempio di report anonimizzato e una metodologia chiara;
• indichi competenze e referenze verificabili, che puoi controllare direttamente;
• preveda un incontro di restituzione e un retest.

Per capire quali scenari colpiscono le realtà italiane, consulta fonti pubbliche e affidabili: i bollettini dello CSIRT Italia, i rapporti annuali sulla sicurezza informatica come quello del Clusit, i comunicati del Garante per la protezione dei dati personali e la cronaca delle testate specializzate. Cerca gli incidenti recenti nel tuo settore e chiediti se i tuoi sistemi sarebbero esposti alla stessa tecnica.

Conclusione

Il penetration test non è un esame da superare, ma uno strumento per vedere la propria azienda con gli occhi di chi attacca. Insieme a un vulnerability assessment regolare e a una buona gestione delle vulnerabilità, permette di correggere ciò che conta davvero, nell'ordine giusto.

Se vuoi capire da dove partire per la tua realtà a Milano, puoi conoscere le soluzioni di Fred for Security e approfondire i servizi disponibili, per valutare con un confronto diretto quale approccio sia più adatto alle tue esigenze.

Domande frequenti