_Penetration Testing: da grandi poteri derivano grandi responsabilità

Dai primi film sugli hacker fino ad arrivare alla serie Mr Robot, la figura dell’hacker ha suscitato sempre grande interesse e curiosità.

Ma cosa sono gli hacker e come funziona l’hacking?

Non tutti gli hacker, però, hanno cattive intenzioni: gli Ethical hacker utilizzano le loro competenze per trovare potenziali falle di sicurezza e porvi rimedio. In questo articolo vogliamo esplorare nel dettaglio le loro attività principali. Utilizzare l’hacking in modo etico per cercare buchi nella sicurezza ha un nome preciso: Penetration Testing. E per farlo basta aprire tante finestre con testi colorati? Chiaramente no, il processo è molto più ampio e procede per fasi. La prima di queste è l’Enumeration, che significa dedicare tempo all’esplorazione del target, analizzando tutte le informazioni utili per trovare una via di accesso.

È sufficiente trovare informazioni valide? Nuovamente no. Spesso le informazioni ottenute non sono sufficienti e richiedono un’analisi ulteriore. Una volta individuata la via di accesso va scelto lo strumento da utilizzare per sfruttare la via d’accesso scelta, così da arrivare alla macchina. Questo secondo passaggio si chiama Exploitation.

Ma ottenere l’accesso alla macchina non è ancora sufficiente, bisogna riuscire a ottenere più “potere”. E se da grandi poteri derivano grandi responsabilità, per avere i privilegi di maggior rilievo che constentano il controllo completo del target, bisogna affidarsi alla nostra capacità di ottenere informazioni utili al nostro risultato. Entriamo così nella terza fase, chiamata Privilege escalation.

Concluse queste tre fasi, di fatto, il processo di Penetration Testing può dirsi concluso. Ci sono però due passi da seguire per completare al meglio la nostra attività. Il primo step consiste nel rimuovere tutte le tracce che abbiamo lasciato durante la fase di testing mentre il secondo prevede la scrittura di un report accurato contenente le informazioni rilevate. La reportistica può sembrare noiosa ma è necessaria per capire i potenziali rischi e le loro soluzioni. È consigliato usare un linguaggio poco tecnico per permetterne la lettura comprensione a tutte le parti coinvolte.

Concludendo: svolgere attività di Penetration Testing risulta quindi fondamentale in contesti organizzativi e può risultare molto divertente, senza dover per forza applicare processi fantasiosi o esperienze alla Elliot Anderson.