Cos'è un pentest e in cosa differisce da uno scanner di vulnerabilità

Un pentest, o penetration test, è un attacco controllato ai vostri sistemi con il permesso del proprietario. L'obiettivo non è «trovare tutto», ma mostrare cosa può fare davvero un attaccante con un certo livello di accesso e quanto tempo gli servirebbe.

Perché non è uno scanner

Uno scanner di vulnerabilità confronta i sistemi con un database di problemi noti e produce un elenco di centinaia di righe, la maggior parte delle quali non minaccia nessuno. Il pentester prende quegli stessi rilievi e li verifica a mano: se davvero si può fare qualcosa attraverso di essi, se due vulnerabilità «basse» si combinano in una critica, se i dati escono dove lo scanner non vede nulla, per esempio nella logica di business.

Tre modalità di accesso

• Black box: conosciamo solo l'indirizzo, come un attaccante esterno.
• Grey box: abbiamo un account utente normale, come un insider o un cliente.
• White box: abbiamo codice, schemi e accessi, quindi troviamo il massimo nel minor tempo.

Cosa ricevete

Un report con ogni rilievo: evidenza, passi per riprodurlo, livello di rischio CVSS e impatto sul business in parole semplici, raccomandazione per la correzione. Più una nuova verifica dopo le correzioni per confermare che le falle sono chiuse.

Quando serve un pentest

• Prima del lancio di un nuovo prodotto o di una release importante.
• Dopo un incidente o un sospetto di fuga di dati.
• Per la certificazione ISO 27001, SOC 2 o i requisiti dei partner.
• Una volta l'anno, come igiene, per i sistemi che gestiscono denaro o dati personali.