Le soluzioni di penetration test (anche noto come pen test) sono così variegate che c’è chi ha deciso di identificarsi con un servizio ancora più specializzato e approfondito: da qui, il concetto di deep penetration test.
Un concetto che non si discosta molto dal pen test tradizionale, ma che mira soprattutto a un approccio più accorto e dettagliato in ogni aspetto di questa tecnica, tanto cara al mondo della cyber security e anche a Hollywood. Occorre sottolineare, fin da subito, che il deep penetration test ha ben poco da spartire con la cinematografia e, al contrario, include quanto di più tecnico e analitico esista sul mercato.
Indice degli argomenti
Deep penetration test: niente sconti
B-01 ha sviluppato un modello di deep penetration test per tutte quelle aziende che vogliono ottenere un test “senza sconti” per i propri sistemi, con un approccio step by step in cui non viene tralasciata alcuna opportunità di attacco.
Prima di sviscerare, nei dettagli, i servizi e le opportunità offerte, però, è il caso di ripercorrere i concetti che stanno alla base di un classico pen test. Si tratta di un insieme di tecniche con le quali un gruppo di professionisti della cybersecurity rileva i punti di vulnerabilità di un sistema informatico e tenta di sfruttarli al massimo delle loro potenzialità.
Mettere a dura prova le reti
Il successo di un pen test viene raggiunto nel momento in cui si riesce a penetrare il sistema grazie a una o più di queste vulnerabilità. Va da sé che l’obiettivo preferibile, per un’azienda, è di arrivare a un livello nel quale il penetration test dia un esito negativo.
Dato che il mercato è saturo di proposte di pen test fin troppo leggeri e veloci, e quindi poco attendibili, B-01 ha deciso di sviluppare una soluzione di deep penetration test che, al contrario, metta alla prova come non mai i sistemi verso i quali viene utilizzato.
E per farlo, ricorre a un insieme di tecniche, strategie e competenze efficaci e ben integrate tra loro.
La formazione è parte di un deep penetration test
Al centro del deep penetration test c’è, innanzitutto, un team di ethical hacker, ovvero di professionisti con competenze molto specializzate nell’assessment e nell’exploiting delle vulnerabilità. Hacker a tutti gli effetti, ma che sfruttano la propria tecnica sopraffina per simulare gli attacchi di veri cybercriminali.
In un deep penetration test, il punto di vista di un vero hacker fa la differenza perché coglie punti deboli che possono sfuggire a controlli automatizzati e professionisti di formazione più classica. Come sostiene Mauro Salvau, “provvediamo a un continuo aggiornamento del team, in modo che ogni elemento si adegui a tecniche sempre nuove e micidiali, per tenere testa proprio ai cybercriminali”.
Deep penetration test: standard, ma non solo
Il team che si occupa del deep penetration test non si limita alle competenze richieste dai tradizionali pen test, ma va oltre. Per esempio, integrando formazione specializzata in bug hunting e adoperandosi con la security research, al fine di sviluppare tecniche di simulazione degli attacchi che possano prevenire anche le minacce future e non ancora classificate.
Al tempo stesso, il deep penetration test prevede la piena adesione alle principali e più richieste metodologie del mercato, in primis gli standard OSSTMM (Open Source Security Testing Methodology Manual) e OWASP (Open Web Application Security Project).
In questo modo, l’azienda ha un riscontro standard, da utilizzare ove e quando richiesto, ma al tempo stesso può contare su un plus di test e suggerimenti ancora più approfonditi e intagliati su misura dei suoi sistemi.
Black, white, grey: tutti i livelli del deep penetration test
Infatti, il deep penetration test, alla pari di una formula più tradizionale, offre vari livelli di approccio a un sistema. Il black box consiste in una fase in cui il team di ethical hacker non sa nulla della rete e deve per questo cercare ogni singola vulnerabilità mettendosi nelle medesime condizioni di un cybercriminale.
È lo scenario più realistico, ma anche quello che si prefigge come obiettivo l’intrusione sulla base di quel che si riesce a rilevare “alla cieca”.
È per questo che, spesso, il black box si accompagna a un white box, nel quale il team del deep penetration test si informa su ogni elemento che caratterizza la rete, grazie al supporto dei sistemisti dell’azienda. In questo modo, è possibile applicare specifici criteri anche in punti che normalmente non sono visibili con l’analisi della superficie d’attacco.
Tra i due estremi, esistono anche soluzioni grey box, nelle quali vengono fornite solo alcune informazioni.
Dal vulnerability assessment all’exploiting
Il deep penetration test, a questo punto, entra nella sua fase più caratteristica: un modello organico ma variegato che prende in considerazione ogni aspetto di un sistema informatico. E questo si traduce in vulnerability assessment e tentativi di exploiting a ogni livello.
Per esempio, grazie al WAPT (Web Application Penetration Test) si analizzano e attaccano tutti gli elementi esposti a livello di web application. Siti, dunque, ma non solo: anche servizi e applicazioni online sono obiettivo di questo insieme di tecniche.
Col MAPT (Mobile Application Penetration Test), invece, il deep penetration test si dedica ad applicazioni e dispositivi mobile, che oggi più che mai rappresentano uno dei principali problemi della sicurezza aziendale, a causa della diffusione del modello BYOD (Bring Your Own Device).
Il NPT (Network Penetration Test), infine, si rivolge all’architettura interna della rete aziendale, coinvolgendo le soluzioni hardware e software che si occupano di trasmettere e gestire i dati interni.
Una soluzione scalabile
Queste tipologie di approccio sono solo alcune di quelle coinvolte in un deep penetration test che riesce a soddisfare le esigenze di sicurezza di ogni tipologia di azienda. La strategia di un deep penetration test, infatti, è scalabile e, adattandosi a ogni rete, offre una visione unica sulle sue reali vulnerabilità.
Il tutto, poi, suggellato da un report che ha il pregio di includere ogni dettaglio sui test eseguiti e sui risultati ottenuti, ma con un approccio votato alla semplicità, in modo da poter essere veicolato a interlocutori con diverse competenze.
È anche per questo che la soluzione sviluppata da B-01 del Gruppo BlendIT si candida a essere, in assoluto, la prima mossa da fare nello sviluppo di una strategia di cyber security pronta a raccogliere le sfide di oggi e domani.
Contributo editoriale sviluppato in collaborazione con Gruppo BlendIT
