Micso
Un processo pianificato con cui un’organizzazione riesce a prevedere diverse fasi e non solo quella tipica dell’attacco vero e proprio: tutto parte dalla disamina dell’obiettivo, con i suoi punti di forza e quelli deboli, poi si identificano gli strumenti ottimali e le migliori tecniche per cercare di entrare nel sistema della vittima.
Un aiuto fondamentale per la buona riuscita dell’ingresso in profondità è dato dagli hacker etici – o anche “white hat” o “ethical” hacker – che sono in tutto e per tutto hacker, con la differenza che il loro unico scopo è trovare le vulnerabilità prima che gli hacker NERI le trovino e le sfruttino a loro appannaggio.
Il penetration testing può descriversi in quattro fasi.
Footprinting, Scanning, Enumeration, Penetration
Si studia l’obiettivo. I penetration tester analizzano attentamente l’organizzazione, i suoi punti di forza e di debolezza e la sua reattività ad incidenti inaspettati, e raccolgono tutte le informazioni di chi hanno bisogno per determinare e progettare l’attacco. La fonte di tutte queste informazioni è l’organizzazione stessa ed altre fonti di pubblico dominio.
Successivamente, i penetration tester iniziano a scansionare (Scanning) il sito web o l’infrastruttura di sistema alla ricerca di vulnerabilità e punti deboli che, in un secondo momento, possono sfruttare per sferrare l’attacco mirato.
A questo punto, i penetration tester sono pronti a sviluppare la strategia di attacco. Grazie alle informazioni raccolte finora, possono decidere quali strumenti e quali tecniche utilizzare per colpire il sistema (Enumeration). C’è una serie notevole di attacchi a disposizione: ingegneria sociale, SQL injections, malware, etc.
La fase finale è l’attacco stesso (Penetration): utilizzando gli strumenti o le tecniche identificate nella fase precedente, si sfruttano le vulnerabilità individuate per entrare nel perimetro dell’organizzazione.
Missione compiuta.
Per approfondimenti:
Penetration Testing 101: cos’è, come si svolge e i corsi di specializzazione
Penetration test (Pen test): cos’è e come può sventare un attacco informatico
