Validare il rischio attraverso una simulazione controllata.
Il Penetration Test verifica se vulnerabilità e configurazioni deboli possono essere combinate per ottenere accesso non autorizzato, elevare privilegi, raggiungere dati o muoversi tra sistemi. A differenza di una scansione estesa, privilegia la validazione manuale e la comprensione dei percorsi d'attacco plausibili.
Tipologie di test
- applicazioni web e portali autenticati;
- API REST, GraphQL e integrazioni applicative;
- perimetro esterno e infrastrutture interne;
- Active Directory, identità e percorsi di privilege escalation;
- reti wireless e segmentazione;
- configurazioni cloud e catene di autorizzazione;
- scenari black box, grey box o white box concordati.
Regole di ingaggio
Prima dell'avvio vengono formalizzati autorizzazione, obiettivi, sistemi inclusi ed esclusi, orari, tecniche consentite, gestione dei dati, contatti e stop condition. Le attività potenzialmente distruttive, di persistenza o di esfiltrazione non vengono eseguite senza un'autorizzazione specifica e controlli adeguati.
Metodo
- ricognizione e mappatura della superficie raggiungibile;
- analisi di autenticazione, autorizzazione, sessioni e configurazioni;
- ricerca e validazione delle vulnerabilità rilevanti;
- dimostrazione controllata dell'impatto con minima alterazione;
- ricostruzione della catena d'attacco e raccolta delle evidenze;
- confronto immediato sulle criticità urgenti;
- reporting, remediation workshop e retest.
Output
Il report distingue evidenze, rischio tecnico e impatto aziendale. Ogni finding include precondizioni, passi di riproduzione compatibili con la sicurezza del cliente, asset interessati e raccomandazioni. La sintesi executive traduce i risultati in scenari comprensibili alla direzione e supporta la definizione delle priorità.
Il test non certifica l'assenza di vulnerabilità: riduce l'incertezza su un perimetro e in un periodo definiti. Per questo NESQ raccomanda di abbinarlo a gestione continua delle vulnerabilità, secure development e monitoraggio.