Penetration test: cos'è, come funziona e quando serve

La risposta breve: un penetration test è una simulazione autorizzata di un attacco informatico, condotta da specialisti, per identificare le vulnerabilità di un sistema e sfruttarle davvero, così da misurarne l'impatto reale. Non si limita a segnalare che una porta è aperta: prova ad attraversarla, per mostrare fin dove arriverebbe un attaccante e quali dati o processi metterebbe a rischio.

È questa la differenza che conta. Un conto è sapere che esiste una debolezza, un altro è vedere cosa succede quando qualcuno la usa. Il penetration test, che in gergo si abbrevia in pen test o pentest, serve proprio a colmare quella distanza: trasforma un elenco teorico di rischi in una dimostrazione concreta. In questa guida vediamo cos'è, in cosa si distingue dal vulnerability assessment, quali tipi esistono, come si svolge, quali metodologie segue e quando ha senso commissionarlo.

Che cos'è un penetration test

Un penetration test è un'attività offensiva controllata: un team di professionisti, spesso chiamati ethical hacker, prova a violare i sistemi di un'organizzazione usando le stesse tecniche di un attaccante reale, ma con un mandato esplicito e regole concordate. La parola che pesa è "autorizzata". Ciò che distingue un pen test da un attacco vero non sono gli strumenti, che sono gli stessi, ma il fatto che è richiesto dall'azienda, delimitato in un perimetro preciso e documentato dall'inizio alla fine.

L'obiettivo non è fare più danni possibile, è capire. Capire dove sono i punti deboli, come si concatenano, quanto è facile arrivare a un dato sensibile o a un sistema critico, e cosa dovrebbe cambiare perché non accada davvero. Per questo un pen test ben fatto non si ferma alla lista delle falle: le mette in relazione, ricostruisce il percorso che un avversario seguirebbe e stima l'impatto sul business, non solo quello tecnico.

Penetration test e vulnerability assessment: la differenza

È la confusione più frequente, e vale la pena scioglierla subito. Un vulnerability assessment identifica e classifica le vulnerabilità in ampiezza, in modo prevalentemente automatico: uno scanner passa in rassegna i sistemi e restituisce un elenco di debolezze note, ordinate per gravità. Non le sfrutta, le segnala.

Il penetration test lavora in profondità: prende quelle debolezze, o ne cerca di nuove, e le sfrutta manualmente per dimostrare cosa un attaccante otterrebbe davvero. È un'attività più lenta, più onerosa e che richiede competenze specialistiche, ma risponde a una domanda diversa: non "quante falle ho", ma "cosa succede se qualcuno le usa". I due approcci non sono alternativi, si completano: molte organizzazioni li combinano in un percorso chiamato VAPT, e abbiamo dedicato un articolo a penetration test e vulnerability assessment a confronto per capire quando serve l'uno, l'altro o entrambi.

I tipi di penetration test

Non esiste un solo modo di condurre un pen test. Si classifica lungo due assi: quanto l'attaccante simulato conosce del bersaglio e su quale ambito si concentra.

Per livello di conoscenza

• Black box. Il tester parte senza alcuna informazione, esattamente come un attaccante esterno che non ha mai visto la rete. Riproduce l'attacco più realistico dall'esterno, ma nel tempo a disposizione può lasciare zone inesplorate.
• Grey box. Il tester riceve informazioni parziali, per esempio le credenziali di un utente standard o uno schema dell'architettura. Simula bene lo scenario di un insider o di un attaccante che ha già messo un piede dentro, ed è spesso il miglior compromesso tra realismo ed efficienza.
• White box. Il tester ha accesso completo: codice sorgente, configurazioni, documentazione, architettura. È l'analisi più approfondita, quella che scova anche i problemi difficili da raggiungere dall'esterno, e si usa quando l'obiettivo è la massima copertura più che il solo realismo.

Per ambito

A seconda di cosa si vuole mettere alla prova, il perimetro cambia:

• rete esterna e interna, per verificare cosa è raggiungibile da internet e cosa potrebbe fare chi è già dentro il perimetro;
• applicazioni web, il bersaglio più esposto e più frequente: quando il perimetro è una singola applicazione si parla di web application penetration test, con una metodologia dedicata, la OWASP Web Security Testing Guide;
• applicazioni mobile, con le loro logiche e i loro archivi locali;
• reti wireless, spesso il punto d'ingresso trascurato;
• ambienti cloud, dove contano configurazioni e permessi più del perimetro tradizionale;
• social engineering, che mette alla prova il fattore umano con tecniche come il phishing, perché spesso l'anello debole non è una macchina ma una persona.

Le fasi di un penetration test

Al di là dell'ambito, un pen test serio segue una sequenza riconoscibile:

1. Scoping e pianificazione. Si definiscono perimetro, obiettivi, regole d'ingaggio e autorizzazioni. È la fase che tiene l'attività dentro i binari legali e operativi: cosa si può toccare, quando, con quali limiti.
2. Ricognizione. Raccolta di informazioni sul bersaglio, da fonti pubbliche e dai sistemi esposti, per costruire la mappa da cui partire.
3. Scansione. Identificazione di servizi attivi, versioni e vulnerabilità potenziali: è il ponte tra la teoria e lo sfruttamento vero.
4. Exploitation. Lo sfruttamento vero e proprio: qui il tester prova a violare i sistemi usando le debolezze individuate, per verificare quali reggono e quali cedono.
5. Post-exploitation. Una volta dentro, si valuta fin dove si può arrivare: movimento laterale, escalation dei privilegi, accesso ai dati. È la fase che misura l'impatto reale, non solo l'ingresso.
6. Reporting. Il deliverable che conta: le vulnerabilità trovate, le prove di come sono state sfruttate e, soprattutto, le priorità di remediation. Un report senza indicazioni su cosa correggere prima è un report a metà.

Le metodologie di riferimento

Un pen test non è improvvisazione. Esistono metodologie riconosciute che ne guidano l'esecuzione e ne rendono i risultati confrontabili e ripetibili:

• OWASP, il riferimento per la sicurezza delle applicazioni web, con le sue guide al testing;
• PTES (Penetration Testing Execution Standard), che descrive l'intero ciclo dell'attività;
• OSSTMM (Open Source Security Testing Methodology Manual), orientato alla misurazione;
• le linee guida NIST, ampiamente adottate come cornice di riferimento.

Perché contano? Perché una metodologia condivisa evita che l'esito dipenda dallo stile del singolo tester. Rende l'attività verificabile, aiuta a coprire in modo sistematico le aree da esaminare e permette di confrontare due test nel tempo per capire se la postura di sicurezza sta migliorando.

Quando serve un penetration test

Tre situazioni tipiche, non mutuamente esclusive.

Per requisiti di conformità. Diversi quadri normativi prevedono o si aspettano attività di testing offensivo. Nel mondo finanziario, il testing di resilienza di DORA nella sua forma più avanzata è un penetration test guidato dalla minaccia, il TLPT: ne parliamo in dettaglio nell'articolo su test di resilienza operativa e TLPT. Anche ISO 27001 e la NIS2 spingono verso verifiche periodiche della sicurezza tecnica.

Prima di un rilascio importante. Una nuova applicazione, una nuova infrastruttura o una modifica sostanziale sono il momento giusto per un test mirato, prima che il sistema vada in mano agli utenti, e agli attaccanti.

Con regolarità. La superficie esposta cambia in continuazione: nuovi servizi, aggiornamenti, integrazioni con fornitori. Un pen test è una fotografia in un momento preciso, per questo va ripetuto con una cadenza sensata e dopo ogni cambiamento rilevante. Quando la cadenza diventa continuativa e i risultati arrivano in piattaforma, si parla di penetration test as a service.

Come aiuta AmagisTech

Un penetration test ha valore solo se non resta chiuso in un PDF. Il vero lavoro comincia dopo: correggere ciò che è emerso, in ordine di priorità, e assicurarsi che i punti deboli non si ripresentino. È qui che il test si salda con il resto della postura di sicurezza, dalla gestione continua delle vulnerabilità alla capacità di accorgersi in tempo se qualcuno prova ad attaccare davvero.

AmagisTech affianca il mid-market italiano su questo percorso, dai servizi di cybersecurity fino al presidio operativo. Se vuoi capire come il testing offensivo si combina con la verifica in ampiezza, l'articolo su cos'è un vulnerability assessment completa il quadro.

In sintesi: il penetration test è una simulazione autorizzata di attacco che non si limita a elencare le vulnerabilità, le sfrutta per dimostrarne l'impatto reale. Si sceglie il livello di conoscenza (black, grey o white box) e l'ambito, si segue una sequenza rigorosa e una metodologia riconosciuta, e lo si commissiona per conformità, prima dei rilasci e con regolarità. Il suo valore, però, si misura da quanto in fretta si correggono i problemi che porta a galla.