Il test di penetrazione (Pen-testing) è un componente fondamentale e indispensabile che ogni organizzazione deve avere nel suo arsenale di sicurezza informatica. I test di penetrazione consentono alle organizzazioni di valutare la forza e l’efficacia delle loro misure di sicurezza, in cui pen-tester di fiducia simulano attacchi informatici in condizioni di sicurezza e inviano un report con lo stato e suggerimenti per le contromisure per ridurre al minimo i rischi e migliorare la posizione di sicurezza. p> Non è prudente o finanziariamente fattibile condurre pen-test in modo casuale/ ciecamente o per tutte le risorse digitali e componenti del sito web/ applicazione web / rete. L’ambito e il livello di intrusione di qualsiasi pen-test dipendono dai risultati, dalle esigenze e dal contesto previsti. Un professionista di sicurezza fidato ed esperto, come Indusface, sceglierà sempre il giusto mix di strumenti, metodi e tecniche di test di penetrazione basati su questi parametri.

In questo articolo, esamineremo i test di penetrazione classificati in base a come vengono eseguiti i test/ metodi, nonché i componenti/ risorse/ aree presi di mira.

Pen-Testing Tipi basati sui metodi utilizzati

a. Black Box Testing h3> Black Box Pen-testing, noto anche come Test esterni o test di prova ed errore, è dove le attività esterne della società / attività visibili su internet. Questi tipi di test emulano un attacco del mondo reale in cui il tester non conosce i dettagli dell’applicazione/ rete/ sistema e lancerà un attacco di forza bruta o un attacco cieco all’infrastruttura IT. p> Il tester estrae approfondimenti sui target e valuta la loro funzionalità in base agli input di bot o altri processi e strumenti automatizzati che scoprono vulnerabilità e lacune nel sistema/ rete / applicazione mirati. b. White Box Testing White Box Pen-Testing, noto anche come test interno o strutturale/ trasparente / scatola di vetro Test, è dove il tester ha root – / admin-livello di accesso e informazioni complete sui sistemi / reti / applicazioni che devono essere testati tra cui il codice sorgente, indirizzo IP schema, OS dettagli, ecc. L’obiettivo è quello di testare la struttura interna e la forza dei sistemi/ reti/ applicazioni contro addetti ai lavori maligni o un estraneo che ha rubato le credenziali utilizzando un attacco di phishing. Con il test White Box, è possibile capire se le operazioni e i moduli interni sono eseguiti correttamente secondo le specifiche e rilevare errori logici, di progettazione, tipografici e di sintassi, nonché errori di configurazione errati all’interno dell’infrastruttura o dell’ambiente. Questi richiedono strumenti di test di penetrazione molto più sofisticati. c. Grey Box Testing

Grey Box Pen-testing è dove il tester viene fornito informazioni parziali sui sistemi / reti / applicazioni come l’accesso al codice software, diagrammi di architettura di sistema,ecc. per simulare un attacco. Questo tipo di test emula uno scenario in cui un’entità esterna ha ottenuto l’accesso illegittimo ai documenti dell’infrastruttura e traccia come l’accesso parziale alle informazioni influisce sulla destinazione. p>

Tipi di pen-test Basati su componenti/ risorse/aree mirate

  1. Test dei servizi di rete
  2. ol> Il tipo di pen-test più comune e richiesto, network services testing, cerca di scoprire vulnerabilità e lacune nell’infrastruttura di rete e combina test interni/ lato client ed esterni / remoti. Non è un tipo profondo di test della penna. Qui, le aree di rete mirate includono la configurazione del firewall, l’analisi Stateful, SQL Server, server di posta SMTP, DNS, evasione IPS, ecc. 2. Test delle applicazioni Web Il test delle applicazioni Web è un tipo di pen-test molto più intenso, più profondo, dettagliato e mirato per scoprire vulnerabilità, lacune e configurazioni errate nell’app web. Si tratta di un tipo di test che richiede tempo e complesso in cui la pianificazione e la strategia sono essenziali per una maggiore efficacia. Le aree interessate includono API, ActiveX, plug-in, applet, scriptlet, ecc. 3. Test sul lato client

    Questo tipo di test cerca di identificare le vulnerabilità sul software che emergono localmente e possono essere sfruttate dalla fine del client. Ad esempio, browser Web, software per la creazione di contenuti (suite MS Office, Photoshop, Adobe Page Maker), lettori multimediali, ecc. 4. Social Engineering Testing Qui, il tester cerca di simulare un attacco ingannando dipendenti/ utenti per ottenere informazioni proprietarie o riservate. L’obiettivo è testare la consapevolezza e la forza della rete umana nell’organizzazione. Ci sono due sottocategorie nei test di ingegneria sociale:

    Test remoti in cui le tecniche di phishing vengono utilizzate per rubare informazioni riservate attraverso mezzi elettronici. Test fisici in cui il tester utilizza mezzi fisici o presenza attraverso la rappresentazione, dumpster immersioni, minacce, telefonate convincenti,ecc. per ottenere l’accesso a informazioni riservate. 5. Test di rete wireless

    Questo tipo di pen-test cerca di identificare le vulnerabilità e le debolezze nei dispositivi wireless utilizzati sul lato client. Ad esempio, tablet, smartphone, notebook, ecc. Questi test includono anche protocolli wireless, punti di accesso wireless e credenziali di amministratore. Scegli il giusto mix di strumenti di test di penetrazione per infondere gli elementi tanto necessari di proattività e percettività negli sforzi di sicurezza della tua organizzazione. web application security banner