I test di penetrazione sono ampiamente utilizzati per integrare un Web Application Firewall (WAF) nel contesto della sicurezza delle applicazioni Web. Un test di penetrazione, noto anche come pen test, simula un attacco informatico al sistema informatico per identificare i difetti sfruttabili. I risultati del test di penetrazione possono quindi essere utilizzati per mettere a punto le policy di sicurezza WAF e affrontare le vulnerabilità rilevate. Ecco tutto ciò che devi sapere su un penetration test, inclusi i vari tipi e metodi.
Che cos'è un test di penetrazione?
Un test di penetrazione (pen test) è un attacco simulato sanzionato legalmente a un sistema informatico per valutarne la sicurezza. I penetration tester utilizzano gli stessi strumenti, strategie e processi degli aggressori per identificare e mostrare le implicazioni commerciali dei difetti del sistema. I test di penetrazione in genere replicano una serie di aggressioni che potrebbero mettere in pericolo un'azienda. Possono determinare se un sistema è abbastanza forte da resistere agli attacchi sia da posizioni autenticate che non autenticate, nonché da una varietà di ruoli di sistema. Un pen test può entrare in qualsiasi aspetto di un sistema con l'ambito corretto.
Quali vantaggi offre il test di penetrazione?
Idealmente, software e sistemi vengono sviluppati fin dall'inizio con l'obiettivo di eliminare problemi di sicurezza potenzialmente pericolosi. Un pen test offre informazioni su quanto è stato raggiunto l'obiettivo. Ecco come i pen test possono essere vantaggiosi per un'azienda.
- Identificare i difetti del sistema
- Determinare la robustezza del controllo.
- Contribuire alla conformità con le normative sulla privacy e sulla sicurezza dei dati (ad esempio, PCI DSS, HIPAA e GDPR).
- Fornire alla direzione prove qualitative e quantitative della posizione di sicurezza esistente e delle priorità di budget.
Quali sono le fasi del Pen Testing?
I pen tester agiscono come avversari motivati per imitare gli assalti. Di solito seguono un piano che prevede i seguenti passaggi:
#1. Ricognizione.
Per guidare l'approccio all'attacco, raccogliere quante più informazioni possibili sull'obiettivo da fonti pubbliche e private. Ricerche su Internet, recupero delle informazioni sulla registrazione del dominio, ingegneria sociale, scansione della rete non intrusiva e occasionalmente immersioni nei cassonetti sono tutte fonti. Questi dati aiutano i pen tester a mappare la superficie di attacco del bersaglio e le potenziali vulnerabilità. La ricognizione varia a seconda della portata e degli scopi del pen test; potrebbe essere semplice come fare una telefonata per esaminare le capacità di un sistema.
# 2. Scansione
I pen tester utilizzano strumenti per cercare difetti nel sito Web o nel sistema di destinazione, come servizi aperti, problemi di sicurezza delle applicazioni e vulnerabilità open source. I pen tester utilizzano una gamma di strumenti basati su ciò che scoprono durante la ricognizione e i test.
#3. Ottenere l'ingresso.
Le motivazioni degli aggressori possono variare dal furto, modifica o distruzione di dati allo spostamento di fondi o semplicemente al danneggiamento della reputazione di un'azienda. I pen tester decidono quali strumenti e tattiche utilizzare per ottenere l'accesso al sistema, sia attraverso un difetto come l'iniezione SQL o tramite malware, ingegneria sociale o qualcos'altro.
#4. Mantenere aperto l'accesso
Una volta che i pen tester hanno ottenuto l'accesso al bersaglio, il loro attacco simulato deve rimanere connesso abbastanza a lungo da raggiungere i loro obiettivi di esfiltrazione di dati, modifica o abuso di funzionalità. È necessario dimostrare il possibile impatto.
Tipi di test di penetrazione
Prima di decidere su un fornitore, è fondamentale comprendere i molti tipi di pen test disponibili, poiché gli impegni differiscono per focus, profondità e durata. I seguenti sono esempi di comuni impegni di hacking etico:
#1. Test di penetrazione di infrastrutture interne ed esterne
Una valutazione dell'infrastruttura di rete locale e cloud, inclusi firewall, host di sistema e dispositivi come router e switch. Potrebbero essere utilizzati test di penetrazione interni, incentrati sulle risorse all'interno della rete aziendale, o test di penetrazione esterni, incentrati sull'infrastruttura con connessione a Internet. Per definire l'ambito di un test, è necessario conoscere il numero di IP interni ed esterni da esaminare, la dimensione della subnet di rete e il numero di siti.
#2. Esame di penetrazione wireless
Un test WLAN (Wireless Local Area Network) che si rivolge esplicitamente alla WLAN di un'organizzazione e ai protocolli wireless come Bluetooth, ZigBee e Z-Wave. Aiuta a rilevare punti di accesso non autorizzati, difetti di crittografia e vulnerabilità WPA. I tester dovranno conoscere il numero di reti wireless e ospiti, le posizioni e gli SSID univoci da valutare per definire un coinvolgimento.
#3. Test di applicazioni Web
Un esame di siti Web e programmi personalizzati distribuiti tramite Internet per identificare difetti di codifica, progettazione e sviluppo che potrebbero essere sfruttati in modo dannoso. Prima di rivolgerti a un provider di test, determina il numero di app che richiedono test, nonché il numero di pagine statiche, siti dinamici e campi di input che devono essere valutati.
#4. Test di applicazioni mobili
Test delle applicazioni mobili su piattaforme come Android e iOS per scoprire vulnerabilità di autenticazione, autorizzazione, perdita di dati e gestione delle sessioni. Per definire l'ambito di un test, i provider devono conoscere i sistemi operativi e le versioni su cui desiderano valutare un'app, il numero di chiamate API e i prerequisiti per il jailbreak e il rilevamento root.
#5. Revisione della build e della configurazione
Esamina build e configurazioni di rete per errori su server Web e app, router e firewall. Il numero di build, sistemi operativi e server delle applicazioni da testare è un'informazione critica per definire l'ambito di questo tipo di coinvolgimento.
#6. Ingegneria sociale
Una valutazione dei vostri sistemi e della capacità del personale di riconoscere e rispondere ai tentativi di phishing via e-mail. Gli attacchi personalizzati di phishing, spear phishing e Business Email Compromise (BEC) forniscono informazioni dettagliate sui potenziali pericoli.
#7. Test per la penetrazione del cloud
Le valutazioni personalizzate della sicurezza del cloud possono aiutare la tua organizzazione a superare le difficoltà di responsabilità condivisa identificando e affrontando le vulnerabilità nelle impostazioni cloud e ibride che possono esporre risorse importanti.
#8. Test di penetrazione in un ambiente agile
Valutazioni di sicurezza continue e incentrate sugli sviluppatori mirate a rilevare e correggere i difetti di sicurezza durante il ciclo di sviluppo. Questa metodologia agile aiuta a garantire che ogni versione del prodotto, che si tratti di una semplice correzione di bug o di una grande funzionalità, sia stata accuratamente testata per la sicurezza.
Metodi di test di penetrazione
#1. Valutazione esterna
I test di penetrazione esterni prendono di mira le risorse visibili su Internet di un'azienda, come l'applicazione Web stessa, il sito Web dell'azienda, la posta elettronica e i server dei nomi di dominio (DNS). L'obiettivo è ottenere l'accesso ed estrarre informazioni utili.
#2. Valutazione interna
In un test interno, un tester che ha accesso a un'applicazione dietro il firewall dell'azienda simula un attacco interno dannoso. Questo non è sempre emulare un dipendente rinnegato. Un punto di partenza comune è un dipendente le cui credenziali sono state ottenute a seguito di un tentativo di phishing.
#3. Test alla cieca
In un blind test, a un tester viene semplicemente fornito il nome dell'organizzazione mirata. Ciò fornisce al personale addetto alla sicurezza una visione in tempo reale di come potrebbe verificarsi un vero e proprio attacco alle applicazioni.
#4. Test in doppio cieco
Gli addetti alla sicurezza in un test in doppio cieco non hanno informazioni precedenti sull'attacco simulato. Non avranno il tempo di rinforzare le loro fortificazioni prima di un tentativo di breccia, proprio come nel mondo reale.
#5. Test mirati
In questo scenario, il tester e il personale di sicurezza collaborano e si tengono reciprocamente informati dei loro movimenti. Questo è un eccellente esercizio di formazione che offre a un team di sicurezza un feedback in tempo reale dal punto di vista di un hacker.
Qual è il ruolo di un tester di penetrazione?
Un penetration tester, a differenza di altri esperti di informatica, si concentra su un aspetto specifico della sicurezza informatica. Aiutano nella protezione delle informazioni digitali delle loro aziende rilevando i difetti del sistema prima che si verifichi un attacco, un processo noto come test di vulnerabilità.
I penetration tester possono salvare le proprie organizzazioni dai danni finanziari e di fiducia del pubblico che derivano da violazioni significative dei dati. Per scoprire potenziali falle ed evitare futuri attacchi, questi professionisti pensano come pericolosi hacker.
I penetration tester sono spesso impiegati dai team di sicurezza informatica o informatica (IT). L'esperienza con strumenti di hacking, codifica e scripting e una comprensione completa delle vulnerabilità e dei sistemi operativi sono tutte importanti capacità di test di penetrazione.
I penetration tester beneficiano di forti capacità comunicative, interpersonali e di scrittura di report.
Quanto può guadagnare un tester della penna?
I pen tester possono guadagnare molti soldi. Secondo Payscale, la paga media del penetration tester nel settembre 2021 è di $ 87,440. Questo importo è molto più alto del salario mediano nazionale del maggio 2020 del BLS per tutti i lavori di $ 41,950.
I penetration tester a livello base guadagnano meno dei professionisti esperti. La retribuzione varia a seconda dell'istruzione, con i penetration tester di livello superiore che spesso guadagnano di più. La posizione, l'industria e l'area specialistica sono tutti fattori che possono influenzare la compensazione.
Stipendio di un Penetration Tester basato sull'esperienza
Le fasce salariali per i penetration tester variano a seconda del livello di esperienza. I penetration tester con 20 anni di esperienza guadagnano in media $ 124,610 all'anno, che è circa $ 57,000 in più rispetto alla retribuzione media per i lavoratori entry-level.
Solo avere 1-4 anni di esperienza può aumentare notevolmente il reddito di un penetration tester, da $ 67,950 per un penetration tester entry-level a $ 81,230 per un esperto all'inizio della carriera.
Stipendio di un Penetration Tester basato sull'istruzione
Gli stipendi per i penetration tester spesso aumentano con il livello di laurea. Passare da una laurea in sicurezza informatica a un master, ad esempio, può aumentare i salari medi di $ 19,000 all'anno.
Considera i vantaggi e gli svantaggi dell'istruzione extra valutando potenziali salari migliori rispetto al tempo e al denaro necessari per ottenere un altro titolo. Certificazioni e campi di addestramento sono possibilità meno costose.
I programmi accademici di test di penetrazione spesso forniscono lauree in informatica, sicurezza informatica o sicurezza delle informazioni.
Stipendio di un Penetration Tester per località
A parte l'istruzione e l'esperienza, il luogo in cui vivi può avere un impatto sul tuo compenso. Il reddito di un penetration tester può essere influenzato da fattori quali la domanda di occupazione, il costo della vita e la densità della popolazione. Prendi in considerazione le occupazioni in aree più remunerative con statistiche sul costo della vita inferiori alla media per ottimizzare il potenziale di guadagno.
Quanto accesso hanno i pen tester?
Ai tester vengono forniti vari gradi di informazioni o accesso al sistema di destinazione, a seconda degli obiettivi del pen test. In determinate circostanze, il team di test della penna inizia con una strategia e rimane con essa. A volte, la strategia del team di test si sviluppa man mano che la sua comprensione del sistema cresce durante il pen test. L'accesso al Pen Test è suddiviso in tre livelli.
- La scatola opaca. Il team non è a conoscenza della struttura interna del sistema bersaglio. Si comporta in modo simile a un hacker, esplorando eventuali falle sfruttabili dall'esterno.
- Scatola semitrasparente. Il personale ha familiarità con uno o più set di credenziali. Comprende anche le strutture dati principali, il codice e gli algoritmi del target. I pen tester possono creare casi di test da un'ampia documentazione di progettazione, come i diagrammi architetturali del sistema di destinazione.
- Scatola trasparente. I pen tester hanno accesso a sistemi e artefatti di sistema come codice sorgente, file binari, contenitori e, in alcuni casi, ai server che eseguono il sistema. Questo metodo offre il massimo livello di sicurezza nel minor tempo possibile.
Cosa sono gli strumenti per i test di penetrazione?
Gli strumenti di test di penetrazione vengono utilizzati come parte di un test di penetrazione (Pen Test) per automatizzare processi specifici, migliorare la velocità dei test e scoprire difetti che sarebbero difficili da individuare utilizzando solo tecniche analitiche manuali. Gli strumenti di analisi statica e gli strumenti di analisi dinamica sono due tipi di strumenti di test di penetrazione.
Quali sono i tipi di strumenti di test della penna?
Non esiste uno strumento di test della penna adatto a tutti. Invece, obiettivi diversi richiedono diversi set di strumenti per la scansione delle porte, la scansione delle applicazioni, le effrazioni Wi-Fi e la penetrazione diretta della rete. Gli strumenti di test della penna sono generalmente classificati in cinque gruppi.
- Software di ricognizione per localizzare host di rete e porte aperte
- Scanner per le vulnerabilità nei servizi di rete, nelle applicazioni web e nelle API
- Sono disponibili strumenti proxy come proxy Web specializzati o proxy man-in-the-middle generici.
- Gli strumenti di sfruttamento vengono utilizzati per ottenere punti d'appoggio nel sistema o l'accesso alle risorse.
- Strumenti post-sfruttamento per interagire con i sistemi, mantenere e ampliare l'accesso e raggiungere gli obiettivi di attacco
Cosa distingue i test con penna dai test automatizzati?
I tester con penna utilizzano strumenti di scansione e test automatizzati, nonostante il fatto che il test con penna sia in gran parte un'attività manuale. Vanno anche oltre gli strumenti per fornire test più approfonditi rispetto a una valutazione della vulnerabilità (ad esempio, test automatizzati) utilizzando la loro comprensione delle attuali strategie di attacco.
Test manuale della penna
Il test manuale della penna identifica le vulnerabilità e le debolezze che non sono incluse negli elenchi popolari (ad esempio, OWASP Top 10) e valuta la logica aziendale che il test automatico potrebbe ignorare (ad esempio, convalida dei dati, controlli di integrità). Un pen test manuale può anche aiutare nell'identificazione di falsi positivi forniti da test automatizzati. I pen tester possono esaminare i dati per indirizzare i loro attacchi e testare sistemi e siti Web in modi che le soluzioni di test automatizzate che seguono una routine predefinita non possono fare poiché sono professionisti che pensano come avversari.
Test automatizzato
Rispetto a un approccio di test con penna completamente manuale, il test automatizzato produce risultati più rapidamente e richiede un minor numero di persone qualificate. I programmi di test automatizzati tengono traccia automaticamente dei risultati e talvolta possono esportarli in una piattaforma di reportistica centralizzata. Inoltre, i risultati dei test con penna manuale possono variare da test a test, ma l'esecuzione di test automatizzati sullo stesso sistema produce ripetutamente gli stessi risultati.
Quali sono i vantaggi e gli svantaggi del test con penna?
Con il numero e la gravità delle violazioni della sicurezza in aumento anno dopo anno, non c'è mai stata una maggiore necessità per le aziende di avere visibilità su come possono resistere agli attacchi. Regolamenti come PCI DSS e HIPAA richiedono test periodici con la penna per garantire la conformità. Tenendo presenti questi vincoli, di seguito sono riportati alcuni vantaggi e svantaggi di questo tipo di tecnica di rilevamento dei difetti.
Vantaggi del test con penna
- È stato dimostrato che gli approcci di garanzia della sicurezza a monte, come strumenti automatizzati, standard di configurazione e codifica, analisi dell'architettura e altre attività di valutazione della vulnerabilità più leggere, presentano difetti.
- Trova errori software noti e sconosciuti e vulnerabilità di sicurezza, inclusi problemi minori che potrebbero non causare molta preoccupazione da soli, ma possono causare gravi danni come parte di un modello di attacco più ampio.
- Può attaccare qualsiasi sistema emulando il comportamento della maggior parte degli hacker ostili, simulando il più fedelmente possibile un nemico del mondo reale.
Gli svantaggi del test con la penna
- È laborioso e costoso
- Non impedisce completamente l'ingresso di bug e difetti nell'ambiente di produzione.
Quali sono i due test di penetrazione comunemente usati?
I due tipi più diffusi di test di penetrazione sono automatizzati e manuali.
Perché utilizziamo i test di penetrazione?
L'obiettivo dei test di penetrazione è aiutare le aziende a determinare dove sono più vulnerabili agli attacchi e ad affrontare in modo proattivo tali vulnerabilità prima che gli hacker le sfruttino.
Riassumere,
Un test di penetrazione (pen test) è un attacco simulato sanzionato legalmente a un sistema informatico per valutarne la sicurezza. I pen test forniscono informazioni dettagliate sulle minacce alla sicurezza del mondo reale che possono essere sfruttate. Eseguendo un test di penetrazione, puoi identificare quali vulnerabilità sono critiche, quali sono minori e quali sono falsi positivi.
Articoli Correlati
- MIGLIORI SITI WEB E AZIENDE PER TEST DI PRODOTTI NEL 2023
- GAME TESTER: significato, lavoro, stipendio e consigli gratuiti
- VIDEO GAME TESTER: significato, stipendio, come diventare uno e lavori a distanza
- STRATEGIA DI PENETRAZIONE DEL MERCATO: Una guida alla penetrazione del mercato (+ Suggerimenti gratuiti)
Riferimenti
