Pe­ne­tra­tion test (pen test): di cosa si tratta?

Con i pe­ne­tra­tion test, ab­bre­via­ti anche in pen test, si può de­ter­mi­na­re la vul­ne­ra­bi­li­tà della rete dei singoli sistemi o persino delle singole ap­pli­ca­zio­ni. Come viene eseguito esat­ta­men­te un test di questo tipo e cosa comporta per la rete esistente?

Che cos’è un pen test?

In in­for­ma­ti­ca un pe­ne­tra­tion test indica un attacco pro­gram­ma­to a una rete di qualsiasi di­men­sio­ne o ai singoli computer con l’obiettivo di rilevare le vul­ne­ra­bi­li­tà dell’oggetto del test preso in esame. A questo scopo, con l’aiuto di diversi strumenti, vengono re­gi­stra­ti diversi schemi di attacco che imitano quelli più co­no­sciu­ti. I com­po­nen­ti tipici che fanno parte di un pen test sono:

• Elementi di col­le­ga­men­to di rete come router, switch o gateway
• Gateway di sicurezza come firewall hardware e software, filtri di pacchetti, antivirus, load balancer, IDS e IPS, ecc.
• Server come server web, server database, file server, ecc.
• Impianti di te­le­co­mu­ni­ca­zio­ne
• Ogni tipo di ap­pli­ca­zio­ni web
• Con­fi­gu­ra­zio­ni di in­fra­strut­tu­re come mec­ca­ni­smi di controllo per l’accesso
• Uso di reti senza fili, come Wi-Fi o Bluetooth

In genere si distingue tra test black box, white box e grey box: i primi mettono a di­spo­si­zio­ne per i pe­ne­tra­tion test solo le in­for­ma­zio­ni dell’indirizzo della rete e del sistema o della rete di de­sti­na­zio­ne, mentre nel pe­ne­tra­tion test white box le persone che ef­fet­tua­no il test hanno già una co­no­scen­za ap­pro­fon­di­ta sui sistemi da testare, per esempio sugli indirizzi IP e i com­po­nen­ti software e hardware uti­liz­za­ti. Nei test grey box, la variante più fre­quen­te­men­te uti­liz­za­ta, sono combinati gli altri due metodi. È di­spo­ni­bi­le una co­no­scen­za iniziale dell’in­fra­strut­tu­ra IT, ad esempio per cosa vengono uti­liz­za­ti i sistemi e in che cosa con­si­sto­no ap­pros­si­ma­ti­va­men­te.

Come eseguire un pe­ne­tra­tion test

Come puoi uti­liz­za­re i pe­ne­tra­tion test per i tuoi scopi? Nelle sezioni seguenti abbiamo riassunto gli aspetti più im­por­tan­ti per svolgere un pe­ne­tra­tion test secondo le tue esigenze.

Requisiti del pen test

Per fare in modo che un pen test vada a buon fine, è ne­ces­sa­rio in­nan­zi­tut­to creare una struttura chiara. Chiarisci quali com­po­nen­ti devono essere testati, il periodo da usare per un singolo test o per l’intera revisione della rete e as­si­cu­ra­ti di aver a di­spo­si­zio­ne tutti gli strumenti necessari.

Questa fase di pre­pa­ra­zio­ne è ancora più im­por­tan­te se il controllo di sicurezza viene affidato a tester esterni e se deve essere rea­liz­za­to un test white box. In questo caso, è ne­ces­sa­rio co­mu­ni­ca­re tutte le in­for­ma­zio­ni sulla tua rete e sui sistemi par­te­ci­pan­ti e tra­smet­te­re la do­cu­men­ta­zio­ne esistente. La si­tua­zio­ne è diversa nel caso di un test black box, per il quale è suf­fi­cien­te co­mu­ni­ca­re l’indirizzo di de­sti­na­zio­ne dei ri­spet­ti­vi oggetti di test.

I migliori strumenti da uti­liz­za­re per i pe­ne­tra­tion test

Data la varietà di forme di attacco della rete, sono messi a di­spo­si­zio­ne di tutti coloro che eseguono i pen test tutta una serie di diversi strumenti. Tra questi i più im­por­tan­ti sono:

• Le scansioni delle porte: il port scanning utilizza strumenti speciali per in­di­vi­dua­re le porte aperte su un sistema in­for­ma­ti­co.
• Scanner di vul­ne­ra­bi­li­tà: gli scanner di vul­ne­ra­bi­li­tà (co­no­sciu­ti in inglese come “Vul­ne­ra­bi­li­ty Scanner”) con­trol­la­no i sistemi per in­di­vi­dua­re eventuali falle di sicurezza, con­fi­gu­ra­zio­ni errate e politiche ina­de­gua­te in materia di password e utenti.
• Sniffer: uno sniffer può essere uti­liz­za­to per ana­liz­za­re il traffico di dati di una rete. Più questo è criptato, meno in­for­ma­zio­ni si ottengono.
• Ge­ne­ra­to­ri di pacchetti: i ge­ne­ra­to­ri di pacchetti sono strumenti per generare o simulare il traffico di dati di rete. In questo modo, nell’ambito di un pe­ne­tra­tion test, viene imitato il traffico di dati di rete reale.
• Password cracking: con la vio­la­zio­ne delle password si tentano di ottenere password insicure.

Molti degli strumenti men­zio­na­ti sono stati svi­lup­pa­ti espli­ci­ta­men­te per svolgere test di sicurezza nelle reti e sono quindi rea­liz­za­ti su misura per specifici ambiti di test. Mentre la maggior parte dei programmi proviene dal settore open source, si trovano comunque alcune ap­pli­ca­zio­ni com­mer­cia­li per la sicurezza, che sono so­li­ta­men­te meglio do­cu­men­ta­te e offrono un supporto completo.

Svol­gi­men­to di un pe­ne­tra­tion test

Lo svol­gi­men­to di un pe­ne­tra­tion test si può sud­di­vi­de­re in par­ti­co­lar modo nei seguenti quattro ambiti:

Verifica della strategia di rete

Già nella fase di pre­pa­ra­zio­ne, un pe­ne­tra­tion test può rivelare anomalie o vul­ne­ra­bi­li­tà concrete nella rea­liz­za­zio­ne della rete o dei singoli com­po­nen­ti. Se ad esempio sono con­fi­gu­ra­te diverse ap­pli­ca­zio­ni con dif­fe­ren­ti gruppi di permessi, ciò può ben presto portare a com­pli­ca­zio­ni e rap­pre­sen­ta­re un rischio per la sicurezza dell’intera rete, anche se questa e i singoli programmi ospitati sono suf­fi­cien­te­men­te protetti. Alcuni di questi casi si possono chiarire pre­li­mi­nar­men­te, mentre altri sono ri­scon­tra­bi­li solo tramite un test pratico.

Test delle misure di raf­for­za­men­to

Un aspetto centrale per la creazione di una rete aziendale sicura è quello che i sistemi coinvolti risultino raf­for­za­ti al meglio. Nel pen test si tratta, di con­se­guen­za, anche di ve­ri­fi­ca­re le misure di raf­for­za­men­to in­tra­pre­se. Qui si trova il software in­stal­la­to, come il sistema operativo, i servizi del sistema o le ap­pli­ca­zio­ni che do­vreb­be­ro sempre essere ag­gior­na­te. Se per motivi di com­pa­ti­bi­li­tà con altre ap­pli­ca­zio­ni sono in uso delle versioni più vecchie, è ob­bli­ga­to­rio prendere delle misure di pro­te­zio­ne al­ter­na­ti­ve. Inoltre, ricoprono un ruolo im­por­tan­te anche i pre­re­qui­si­ti di accesso e di au­ten­ti­ca­zio­ne per i singoli sistemi e programmi. A questo punto il pe­ne­tra­tion test si occupa di tematiche come:

• Gestione degli accessi
• Uso e crit­to­gra­fia delle password
• Uso delle in­ter­fac­ce esistenti e delle porte aperte
• Una serie di regole definite (ad esempio quelle del firewall)

Ricerca di vul­ne­ra­bi­li­tà co­no­sciu­te

In generale, non ci si mette molto a scoprire le falle di sicurezza, perciò sono so­li­ta­men­te risaputi alle persone che eseguono pe­ne­tra­tion test i punti di attacco degli oggetti esaminati. Grazie alle versioni e alle patch ri­la­scia­te, che si sono imposte durante le ricerche per accertare il grado di raf­for­za­men­to dei com­po­nen­ti di rete, si scoprono perciò in fretta quali ap­pli­ca­zio­ni rap­pre­sen­ta­no un rischio per la sicurezza. Se devono essere esaminati in breve tempo molti sistemi, vale la pena di impiegare degli scanner per le vul­ne­ra­bi­li­tà, anche se non portano sempre a un risultato esatto.

Uso mirato di exploit

Chi esegue il test sa con certezza se le vul­ne­ra­bi­li­tà trovate si possono realmente sfruttare, solo nel momento in cui impiega a sua volta un apposito exploit. In una simile sequenza di comandi si tratta so­li­ta­men­te di script, che vengono messi a di­spo­si­zio­ne da diverse fonti su internet, ma che non sono tuttavia sempre pro­gram­ma­ti in modo sicuro. Se si esegue un simile exploit poco sicuro, si corre il rischio che l’ap­pli­ca­zio­ne testata o il sistema si arresti e, nel peggiore dei casi, che vengano persino so­vra­scrit­te delle sezioni di memoria im­por­tan­ti. Quindi, in questo caso chi svolge il pen test dovrebbe avere l’ac­cor­tez­za di impiegare solo script com­pro­va­ta­men­te non pe­ri­co­lo­si pro­ve­nien­ti da fonti serie o ri­nun­cia­re a testare le falle di sicurezza.

Vantaggi e svantaggi dei pen test

Le grandi strutture omogenee di computer ap­par­ten­go­no ormai al passato. Le ar­chi­tet­tu­re odierne IT de­cen­tra­te sono una fonte gior­na­lie­ra di nuove falle di sicurezza ed errori, che i pro­dut­to­ri di software risolvono in maniera più o meno veloce. È qui che i pe­ne­tra­tion test spiccano con i seguenti vantaggi:

• nel caso della verifica dei sistemi, i pen test vanno molto più a fondo rispetto a un classico controllo della sicurezza;
• la finalità di base consiste nel con­trol­la­re l’in­te­ra­zio­ne dei singoli com­po­nen­ti tra di loro;
• i tester esterni danno un’opinione ag­giun­ti­va e un’altra pro­spet­ti­va sulla strategia di sicurezza di base;
• I pe­ne­tra­tion tester pro­fes­sio­ni­sti sono op­por­tu­na­men­te spe­cia­liz­za­ti per svolgere questi test e procedono alla stessa maniera di un criminale in­for­ma­ti­co.

I pe­ne­tra­tion test e in par­ti­co­la­re la col­la­bo­ra­zio­ne con tester esterni comporta anche alcuni svantaggi:

• durante lo svol­gi­men­to del test il team avrà accesso al sistema interno;
• c’è sempre la pos­si­bi­li­tà che il pe­ne­tra­tion test causi dei danni che non si possono più risolvere;
• i pen test for­ni­sco­no quindi solo la si­tua­zio­ne mo­men­ta­nea dei tuoi sistemi di rete e non do­vreb­be­ro mai essere con­si­de­ra­ti come un’occasione per ri­nun­cia­re a prendere le misure di sicurezza classiche.

Infine, si corrono anche dei rischi con l’in­ge­gne­ria sociale, le cui vul­ne­ra­bi­li­tà non rientrano nel campo di analisi di un classico pe­ne­tra­tion test. Molti fornitori di servizi offrono la verifica di queste vul­ne­ra­bi­li­tà umane nelle aziende, offrendo dei corsi appositi, che sono però opzionali.