Penetration Test, analisi di un caso reale

25 ottobre 2011

In questo articolo vedremo come condurre un Penetration Test, analizzando un caso reale. Nello specifico verranno trattate le varie fasi, dalla raccolta delle informazioni alla stesura di un report, fornendo esempi pratici sulla metodologia applicata e i tools utilizzati.

Introduzione

L’interesse per la sicurezza dei sistemi informatici è cresciuto negli ultimi anni proporzionalmente alla loro diffusione. Sempre più spesso grandi aziende sono alla ricerca di “Hacker Etici” da assumere ed impiegare al fine di scongiurare minacce derivanti da attacchi informatici. La tendenza è affidarsi alle competenze di chi ben conosce le varie tecniche di attacco per poterne prevedere ed ostacolare le mosse.

L’obiettivo primario è garantire che l’informazione rimanga integra ed accessibile, nei tempi previsti, ai soli utenti che ne hanno facoltà. Il sistema informatico deve essere in grado d’impedire l’accesso abusivo ai dati e l’alterazione delle informazioni, sia da parte di utenti non autorizzati che da eventi accidentali. Vari fattori contribuiscono al raggiungimento di tale fine: la robustezza del software di base e applicativo, l’affidabilità hardware dei dispositivi e il fattore umano.

Penetration Tester

Il Penetration Tester o Auditor è colui che svolge l’attività di verifica della sicurezza dei sistemi informatici, nella sua analisi opera con le stesse logiche utilizzate da un Hacker. Il fine è ottenere l’accesso ad informazioni riservate o il controllo del sistema remoto con l’ausilio di strumenti automatici o basandosi semplicemente sulle proprie capacità e conoscenze.

Metodologie

Le metodologie adottate hanno il comune obiettivo di fornire una conoscenza dettagliata sullo stato di sicurezza dei sistemi informatici presi in esame e permettono di:

  • verificare che non sia possibile ottenere accessi non autorizzati a sistemi ed informazioni;
  • valutare se, per un utente con privilegi minimi, sia possibile accedere ad informazioni per le quali non ha l’autorizzazione necessaria;
  • verificare che un determinato software (es. una web application) non contenga vulnerabilità tali da permettere, ad un malintenzionato, di ottenere accessi non autorizzati a dati e servizi riservati.

Durante i penetration test (PT) vengono effettuate delle vere e proprie simulazioni di intrusione, ipotizzando diversi scenari di attacco e combinando tecniche manuali all’utilizzo di strumenti automatici.

Se vuoi aggiornamenti su Penetration Test, analisi di un caso reale inserisci la tua e-mail nel box qui sotto:
 
X
Se vuoi aggiornamenti su Penetration Test, analisi di un caso reale

inserisci la tua e-mail nel box qui sotto:

Ho letto e acconsento l'informativa sulla privacy

Acconsento al trattamento di cui al punto 3 dell'informativa sulla privacy