Penetration test e vulnerability scan: le differenze chiave

Chi acquista servizi di sicurezza sente spesso usare "penetration test" e "vulnerability scan" come se fossero la stessa cosa. Non lo sono. Una vulnerability scan è un controllo automatizzato che confronta i sistemi con un database di debolezze note. Un penetration test è un'attività con perimetro definito, condotta da una persona, in cui un tester verifica se le debolezze possono essere effettivamente sfruttate contro un obiettivo concordato e ne documenta le evidenze. Entrambi sono utili. La scelta giusta dipende dalla domanda a cui occorre rispondere, dalla maturità del Suo ambiente e da chi leggerà i risultati.

Che cos'è

Una vulnerability scan esegue uno strumento su host, siti web o applicazioni e segnala i problemi che è in grado di riconoscere: patch mancanti, versioni software obsolete, servizi esposti, impostazioni TLS deboli o configurazioni errate comuni. Le scansioni sono rapide e ripetibili, quindi adatte a un'igiene regolare. I loro limiti sono noti. Gli scanner producono falsi positivi, non rilevano problemi che dipendono dalla logica di business e non possono dire se un rilievo di bassa gravità diventa serio se combinato con un altro. Un penetration test parte da un perimetro scritto e da regole d'ingaggio. Il tester utilizza strumenti, scanner compresi, ma poi lavora manualmente: convalida i rilievi, verifica autenticazione e autorizzazione, controlla come sono separati ruoli e tenant e segue percorsi realistici che un attaccante potrebbe tentare. Il risultato è un report con evidenze, gravità e indicazioni di rimedio, anziché un semplice elenco di output degli strumenti. In breve, una scansione indica ciò che potrebbe non andare; un penetration test indica ciò che dimostrabilmente non va nel perimetro concordato e perché è rilevante.

Per Chi È

Questo confronto è utile per i team che:

Hanno ricevuto da un cliente, un partner o un assicuratore una richiesta di "test di sicurezza" e devono capire che cosa viene realmente chiesto
Eseguono già scansioni regolari e vogliono sapere se un test manuale aggiungerebbe informazioni significative
Stanno lanciando una nuova applicazione web, API o app mobile e devono decidere quanto approfondire i test prima del lancio
Devono spiegare alla direzione perché due preventivi per un "test" appaiono molto diversi per impegno e risultati

Cosa Aiuta A Chiarire

Leggere i due a confronto aiuta a chiarire:

Se la Sua domanda riguarda l'igiene rispetto a problemi noti (scansione) o il rischio sfruttabile in un sistema specifico (penetration test)
Quali rilievi di un report di scansione esistente sono probabilmente rumore e quali meritano una convalida manuale
Perché logica di business, controllo degli accessi e percorsi di attacco in più fasi restano al di fuori di ciò che gli strumenti automatizzati di solito rilevano
Quali evidenze un interlocutore si aspetterà di trovare nel report finale

Cosa è incluso

Checklist per la scansione: definire l'elenco degli asset, pianificare scansioni regolari, assegnare un responsabile per l'analisi dei risultati e monitorare nel tempo le correzioni
Checklist per il penetration test: concordare per iscritto, prima dell'avvio, obiettivi, ambienti, finestra di test, modalità di accesso, referenti nominativi e condizioni di interruzione
Ottenere l'autorizzazione scritta del proprietario del sistema e di ogni provider di hosting o fornitore che gestisce sistemi inclusi nel perimetro
Decidere se serve un test autenticato (account di test per ciascun ruolo), così da poter esaminare i problemi di controllo degli accessi
Concordare come verranno classificati i rilievi e come le evidenze saranno condivise in modo sicuro con i referenti nominativi
Pianificare una finestra di retest per confermare i rilievi corretti dopo il rimedio

Cosa non è incluso

L'affermazione che una scansione da sola dimostri che un'applicazione è sicura
L'affermazione che un penetration test trovi ogni debolezza; esamina un perimetro concordato in un tempo concordato
Istruzioni di sfruttamento o test di sistemi che non Le appartengono o per cui non ha l'autorizzazione
Certificazione, approvazione di conformità o un parere di audit formale

Quando sceglierlo

Scelga la scansione quando ha bisogno di una visibilità regolare e ampia su molti asset e dispone di un processo per analizzare e correggere ciò che segnala. Scelga un penetration test quando un sistema specifico è importante per l'azienda, quando un cliente o un partner chiede evidenze di test manuali, prima di un lancio significativo o dopo modifiche rilevanti ad autenticazione, pagamenti o gestione dei dati. Molte organizzazioni utilizzano entrambi: scansioni pianificate per mantenere costante l'igiene e un penetration test periodico per esaminare i sistemi che comportano il rischio maggiore. Se non è ancora in grado di elencare i Suoi asset o i relativi responsabili, una baseline review più ampia può essere un primo passo più utile di entrambi.

Il nostro approccio

Parta dalla decisione che deve prendere. Se il questionario di un cliente richiede un penetration test annuale, un report di scansione di solito non sarà sufficiente. Se deve semplicemente sapere se i server esposti su internet sono aggiornati, un test manuale completo può essere più di quanto serve. Poi confermi il perimetro: quali applicazioni, API, ambienti e ruoli utente sono inclusi e quali sono esplicitamente esclusi. Concordi la finestra di test e chi può sospendere le attività. Il nostro servizio Penetration Testing segue questo schema: perimetro, autorizzazione scritta, test entro le regole d'ingaggio concordate, un report scritto dei rilievi con indicazioni di rimedio prioritizzate, un debriefing e, ove previsto, un retest dei rilievi concordati. Qualunque fornitore scelga, chieda di vedere un report di esempio prima di impegnarsi e verifichi che distingua i rilievi convalidati dalle osservazioni informative. Infine, preveda il tempo per il rimedio. Un test che produce rilievi che nessuno ha il tempo di correggere aggiunge poco valore, quindi allinei la data del test alla capacità del Suo team di agire sui risultati.

servizio Penetration Testing

Visualizza la pagina del servizio Penetration Testing