Penetration test vs vulnerability assessment: le differenze

La differenza tra penetration test e vulnerability assessment si riassume in una frase: il vulnerability assessment elenca le vulnerabilità in ampiezza, il penetration test le sfrutta in profondità per dimostrare quale danno possono davvero fare. Sono due attività complementari, non alternative, e vengono spesso confuse perché entrambe servono a trovare i punti deboli di sistemi, reti e applicazioni. Capire in cosa si distinguono aiuta a scegliere quella giusta al momento giusto, ed evita di pagare per un test che non risponde alla domanda che ti stai facendo.

Vulnerability assessment: la mappa ampia

Il vulnerability assessment (VA) è un processo sistematico di identificazione, classificazione e prioritizzazione delle vulnerabilità presenti in sistemi, reti e applicazioni. Lavora in ampiezza: passa in rassegna quanti più asset possibile e restituisce un elenco ordinato di quello che non va.

È un'attività prevalentemente automatica. Si appoggia a scanner (strumenti come Nessus, Qualys o OpenVAS) che confrontano la configurazione dei sistemi con database di vulnerabilità note e segnalano le corrispondenze. Ogni falla viene classificata per severità, di norma con il punteggio CVSS, così da distinguere ciò che è critico da ciò che può attendere.

Il flusso tipico è lineare: inventario degli asset, scansione, analisi e classificazione, prioritizzazione, report e remediation, seguiti da una ri-scansione di verifica. Il punto chiave: il VA trova ed elenca, ma non sfrutta le falle. Ti dice dove sei esposto, non cosa succederebbe se qualcuno provasse davvero a entrare.

Proprio perché è automatizzabile, il VA si presta a una cadenza frequente o continua: è l'igiene di base della sicurezza, il controllo periodico che tiene sotto osservazione la superficie esposta. Trovi il dettaglio nell'articolo dedicato al vulnerability assessment.

Penetration test: la prova sul campo

Il penetration test (pen test) parte dalla domanda opposta: date le vulnerabilità, cosa può fare concretamente un attaccante? È una simulazione autorizzata di attacco, condotta da specialisti (gli ethical hacker), che non si limita a segnalare le falle ma le sfrutta per misurarne l'impatto reale.

Qui il lavoro va in profondità, non in ampiezza. L'obiettivo non è elencare cento vulnerabilità, ma prendere quelle che contano e dimostrare fino a dove permettono di arrivare: quali dati diventano raggiungibili, quali privilegi si possono scalare, quanto in profondità nell'infrastruttura si riesce a penetrare. È un'attività prevalentemente manuale e richiede competenze specialistiche, perché concatenare più debolezze in un attacco funzionante è un lavoro di esperienza, non di scansione.

Un pen test segue fasi precise: scoping e pianificazione, ricognizione, scansione, exploitation, post-exploitation e infine un report con le priorità di remediation. Può essere condotto con diversi livelli di conoscenza iniziale (black box senza informazioni, grey box con informazioni parziali, white box con accesso completo) e su ambiti diversi, dalla rete alle applicazioni web fino al social engineering. Le metodologie di riferimento sono standard consolidati come OWASP per il web, PTES, OSSTMM e le linee guida NIST. Ne parliamo in dettaglio nella guida al penetration test. Quando il bersaglio è una singola applicazione, il perimetro si restringe e la metodologia cambia: è il caso del web application penetration test.

Le differenze che contano

Messi uno accanto all'altro, i due approcci si distinguono su pochi assi decisivi.

• Ampiezza contro profondità. Il VA copre molti asset in superficie; il pen test scava su pochi obiettivi mirati.
• Automatico contro manuale. Il VA è guidato dagli scanner; il pen test è guidato da persone che ragionano come un attaccante.
• Elencare contro sfruttare. Il VA segnala le vulnerabilità potenziali; il pen test le sfrutta e ne dimostra l'impatto concreto.
• Frequenza. Il VA è periodico o continuo; il pen test è puntuale, condotto meno spesso perché più oneroso in tempo ed expertise.
• Falsi positivi. Lo scanner può segnalare problemi che non sono realmente sfruttabili; il pen test, provando davvero, distingue il rischio teorico da quello reale.
• Output. Dal VA esce una lista prioritizzata per severità; dal pen test esce la ricostruzione dell'attacco, con prove e raccomandazioni operative.

C'è anche una differenza di costo, che discende direttamente da queste. Il VA, essendo automatizzabile, ha un costo contenuto e si ripete facilmente. Il pen test impegna tempo di specialisti e per questo è più impegnativo, motivo per cui si concentra sui sistemi e sui momenti che lo giustificano. Non è che uno valga più dell'altro: rispondono a due esigenze diverse.

VAPT: i due insieme

Nella pratica, VA e pen test non si scelgono in contrapposizione: si combinano. L'approccio integrato ha un nome, VAPT (Vulnerability Assessment and Penetration Testing), e segue una sequenza logica: prima il vulnerability assessment per costruire la mappa ampia delle esposizioni, poi il penetration test sui punti critici emersi, per capire quali di quelle esposizioni sono davvero pericolose.

Il vantaggio è duplice. Da un lato si evita di lanciare un pen test costoso alla cieca, perché il VA ha già indicato dove guardare. Dall'altro non ci si ferma alla lista dello scanner, perché il pen test verifica quali voci di quella lista si traducono in un rischio concreto. La radiografia periodica del VA e lo stress test mirato del pen test raccontano, insieme, una storia completa dello stato di sicurezza.

Quale scegliere, e quando

La domanda giusta non è "quale dei due è migliore", ma "a quale domanda devo rispondere adesso". Alcuni criteri pratici.

• Scegli il vulnerability assessment per l'igiene continua: tenere sotto controllo la superficie esposta, verificare l'effetto delle patch, mantenere una baseline di sicurezza e coprire i requisiti di conformità di base. È il controllo che dovrebbe girare con regolarità.
• Scegli il penetration test quando devi validare sul serio le difese: prima di mandare in produzione un'applicazione critica, dopo un cambiamento importante dell'infrastruttura, per rispondere a requisiti avanzati o semplicemente per sapere se, in caso di attacco reale, i controlli reggono.

Nella maggior parte delle organizzazioni mid-market la risposta matura è "entrambi, con ritmi diversi": il VA gira spesso e in automatico, il pen test si programma nei momenti che lo meritano. Non è una gara tra i due, è una divisione dei compiti.

Tre malintesi da evitare

Attorno a questi due termini circolano alcune convinzioni che portano a scelte sbagliate.

• "Un vulnerability assessment equivale a un penetration test." No: lo scanner trova le porte, ma non prova ad aprirle. Fermarsi al VA significa avere una lista di rischi potenziali senza sapere quali siano davvero sfruttabili.
• "Un pen test una volta l'anno mi mette a posto." Un pen test fotografa un momento preciso. Il giorno dopo, una nuova configurazione o una vulnerabilità appena pubblicata cambiano il quadro. Senza un VA che gira nel frattempo, tra un test e l'altro resti al buio. C'è anche un modello che distribuisce i test offensivi nel tempo invece di concentrarli in una finestra: il penetration test as a service.
• "Più vulnerabilità trovo, meglio è." Il valore non sta nel numero di voci nel report, ma nella capacità di prioritizzare e correggere quelle che contano. Una lista di mille problemi che nessuno chiude non ha reso l'azienda più sicura.

Cosa chiede la conformità

La distinzione non è solo tecnica: pesa anche sul fronte normativo, perché diversi standard e regolamenti si aspettano l'una o l'altra attività, spesso tutte e due.

La ISO 27001 prevede attività di test e valutazione tecnica delle vulnerabilità come parte del sistema di gestione della sicurezza; puoi vedere il quadro nella guida completa alla ISO 27001. La NIS2, con le sue misure di gestione del rischio, spinge verso una valutazione e un testing regolari della sicurezza dei sistemi. E la DORA, per il comparto finanziario, arriva a richiedere nella sua forma più avanzata un test guidato dalla minaccia, il TLPT, che è a tutti gli effetti un penetration test condotto su scenari realistici: lo approfondiamo nell'articolo sui test di resilienza DORA.

La lettura pratica è semplice: il vulnerability assessment copre l'esigenza di controllo continuo che molte norme danno per scontata, mentre il penetration test entra in gioco quando serve dimostrare, prove alla mano, che le difese reggono a un attacco realistico.

In sintesi, il vulnerability assessment ti dice dove sei esposto, il penetration test ti dice quanto quell'esposizione è pericolosa. Il primo è la mappa, il secondo è la prova sul campo, e insieme formano un ciclo di miglioramento continuo. In AmagisTech aiutiamo le aziende mid-market a inserire entrambe le attività dentro un percorso coerente di security operations, in modo che i risultati non restino un report in un cassetto ma alimentino il presidio quotidiano. Per capire da dove partire, trovi il quadro completo nei nostri servizi di cybersecurity.