Individuare una vulnerabilità e verificare cosa potrebbe accadere se venisse sfruttata sono attività che forniscono due informazioni diverse sulla sicurezza di un’infrastruttura.
È proprio da questa distinzione che possiamo comprendere i diversi scopi di Vulnerability Assessment e Penetration Test; due attività di sicurezza informatica complementari ma spesso confuse tra loro.
Il Vulnerability Assessment (VA) individua e valuta le vulnerabilità presenti nei sistemi analizzati. Il Penetration Test (PT) verifica invece se determinate debolezze possono essere concretamente sfruttate e quali conseguenze potrebbero avere.
La scelta dipende quindi dall’obiettivo (o scopo) della verifica e dalle informazioni che l’azienda ha bisogno di ottenere.
Cos’è un Vulnerability Assessment?
Il Vulnerability Assessment è un’attività di analisi approfondita che permette di individuare vulnerabilità e debolezze presenti nei sistemi informatici.
Può interessare, ad esempio:
-
server;
-
dispositivi di rete;
-
device aziendali;
-
applicazioni;
-
sistemi operativi;
-
servizi esposti;
-
configurazioni.
L’obiettivo è ottenere una fotografia dello stato di sicurezza dell’infrastruttura informatica e capire quali criticità richiedono maggiore attenzione.
In termini pratici, risponde soprattutto alla domanda:
“Quali vulnerabilità sono presenti nei miei sistemi?”
Come funziona un Vulnerability Assessment?
L’attività parte dalla definizione del perimetro da analizzare.
Vengono quindi esaminati sistemi, servizi, IP e configurazioni alla ricerca di vulnerabilità note, software obsoleti, errori di configurazione o altri punti deboli.
Una parte dell’analisi può essere automatizzata attraverso strumenti di vulnerability scanning. Il risultato, però, non dovrebbe fermarsi a un semplice elenco di segnalazioni.
Le vulnerabilità individuate devono essere analizzate e contestualizzate rispetto all’ambiente in cui si trovano. Una criticità presente su un sistema isolato, ad esempio, può avere un peso diverso dalla stessa vulnerabilità presente su un servizio esposto verso Internet.
Il risultato finale permette così all’azienda di comprendere quali criticità affrontare e con quale priorità.
Il Vulnerability Assessment consente quindi di individuare e prioritizzare le vulnerabilità. Invece, per verificare concretamente cosa potrebbe accadere se venissero sfruttate determinate debolezze è necessario un tipo di verifica diverso.
Cos’è un Penetration Test?
Il Penetration Test, o pentest, è un test di sicurezza nel quale professionisti autorizzati (chiamati ethical hacker) simulano le tecniche utilizzate negli attacchi informatici contro sistemi, reti o applicazioni, all’interno di un perimetro e secondo regole definite in precedenza.
L’obiettivo è verificare se determinate vulnerabilità possono essere realmente sfruttate e quali conseguenze potrebbero avere.
L’ethical hacker ha infatti il compito di testare fin dove si potrebbe spingere un criminale informatico se dovesse riuscire a “bucare” i sistemi informatici aziendali.
Il tester utilizza tecniche e percorsi di attacco per verificare, entro i limiti concordati, se una debolezza può consentire di ottenere un accesso non autorizzato, acquisire privilegi maggiori o raggiungere altre risorse dell’infrastruttura.
La domanda, quindi, cambia:
“Se qualcuno provasse ad attaccare questi sistemi, fin dove potrebbe arrivare?”
Come funziona un Penetration Test?
Prima di iniziare vengono definiti il perimetro, gli obiettivi e le modalità del test.
Il professionista raccoglie le informazioni necessarie, individua possibili punti deboli e verifica, nei limiti concordati, se possono essere sfruttati.
Un Penetration Test può comprendere attività di:
-
raccolta di informazioni;
-
analisi delle vulnerabilità;
-
tentativi controllati di sfruttamento;
-
verifica delle possibili conseguenze;
-
documentazione delle criticità riscontrate.
Al termine del test, l’azienda riceve un prezioso report che documenta quanto emerso, le vulnerabilità risultate effettivamente sfruttabili, le possibili conseguenze e gli interventi consigliati.
Il Penetration Test permette quindi di verificare se una vulnerabilità è concretamente sfruttabile e quali conseguenze potrebbe avere nel contesto analizzato.
Vulnerability Assessment e Penetration Test: qual è la differenza?
La differenza principale riguarda l’obiettivo della verifica.
Immaginiamo che durante un VA venga rilevato un servizio vulnerabile.
L’analisi permette di identificare e valutare la criticità e di stabilire la priorità dell’intervento.
Un PT può invece verificare se quella vulnerabilità è effettivamente sfruttabile e, nei limiti previsti dal test, quali risorse potrebbe consentire di raggiungere.
Nel primo caso sappiamo dove si trova una debolezza.
Nel secondo approfondiamo cosa potrebbe accadere sfruttandola.
Perché Vulnerability Assessment e Penetration Test non sono intercambiabili
Confondere le due attività può portare ad aspettative sbagliate sui risultati.
Un Vulnerability Assessment può offrire una visione più ampia delle vulnerabilità presenti nell’ambiente analizzato, ma non nasce per simulare in profondità il comportamento di un attaccante.
Un Penetration Test approfondisce, invece, specifici scenari e percorsi di attacco, ma non garantisce di individuare ogni vulnerabilità presente nell’infrastruttura.
Aver completato un Penetration Test, quindi, non significa automaticamente che i sistemi siano privi di vulnerabilità.
Le due attività forniscono informazioni differenti e complementari, e devono essere scelte in funzione dell’obiettivo della verifica.
VA o PT: quale serve alla tua azienda?
La scelta dipende dalle informazioni che si vogliono ottenere.
Un Vulnerability Assessment può essere utile quando l’azienda vuole:
-
conoscere le vulnerabilità presenti nei propri sistemi;
-
controllare periodicamente l’infrastruttura;
-
individuare configurazioni o software da correggere;
-
stabilire le priorità di intervento.
Un Penetration Test può essere indicato quando si vuole:
-
verificare concretamente la sfruttabilità di determinate vulnerabilità;
-
comprenderne le possibili conseguenze;
-
simulare specifici scenari di attacco;
-
verificare la sicurezza dopo modifiche importanti all’infrastruttura.
Spesso le due attività sono complementari fra loro, e rientrano in una strategia di verifica più ampia, definita in base alle caratteristiche dell’infrastruttura e agli obiettivi dell’azienda.
Ogni quanto andrebbero eseguiti?
Non esiste una frequenza standard per tutte le aziende.
La periodicità delle verifiche dovrebbe essere proporzionata all’esposizione al rischio, alla criticità dei sistemi e ai cambiamenti che interessano l’infrastruttura.
Una nuova applicazione, una migrazione, l’introduzione di servizi esposti verso Internet o modifiche rilevanti alla rete possono rendere opportune nuove verifiche. Anche l’emergere di nuove vulnerabilità può modificare nel tempo il livello di esposizione dell’infrastruttura.
La frequenza dovrebbe quindi essere definita in base al contesto e aggiornata quando cambiano sistemi, servizi o condizioni di rischio.
In linea generale, il Vulnerability Assessment viene eseguito con cadenza periodica (molto spesso è una best practice continuativa!).
Il Penetration Test di solito viene svolto con cadenza annuale, anche per ottemperare alle direttive in materia di sicurezza, come NIS2 ed ISO 27001.
Vuoi verificare lo stato di sicurezza della tua infrastruttura?
ARDA Solutions supporta le aziende nell’individuazione delle vulnerabilità e nella verifica della sicurezza di sistemi e infrastrutture, definendo le attività in base al contesto e agli obiettivi dell’analisi.
Contattaci per capire quale verifica è più adatta alla tua infrastruttura.
