Tipi di Penetration Testing
Black Box Testing
- Simula nel modo più fedele possibile gli attacchi che potrebbero accadere nel mondo reale
- Opera allo stesso modo di chi è intenzionato ad attaccare un determinato asset (Black Hat Hacker)
- Garantisce che:
- Tutte le componenti di un determinato asset siano correttamente enumerate
- Tutte le possibili vulnerabilità siano identificate
- Tutti i potenziali strumenti (vettori) di attacco siano utilizzati per (provare a) sfruttare le vulnerabilità identificate
- Caratteristiche:
- Il pentester non ha alcuna conoscenza preliminare sull'asset da analizzare
- Il pentester non conosce: architetture dei sistemi, software, hardware, eventuali processi interni
- Va usato solo quando necessario:
- Richiede molte risorse in termini di tempo e di costo
- Rischia di causare interruzioni o danni all'asset sottoposto a valutazione
White Box Testing
- Il pentester ha conoscenza approfondita dell'asset da analizzare
- Il pentester potrebbe avere accesso a: diagrammi di rete completi, inventari dei sistemi operativi, livelli di aggiornamento/patch, codici sorgente, file di configurazione, informazioni sul personale
- Il pentester:
- Non attacca l'asset così come lo farebbe una minaccia esterna
- Valida i controlli di sicurezza dell'asset in esame
- Spesso è rivolto a nuove applicazioni o sistemi in fase di sviluppo, cercando vulnerabilità prima che questi siano messi in produzione e risultino esposti alle minacce del mondo reale
Gray Box Testing
- Forma ibrida di penetration testing
- Il pentester ha a disposizione solo alcune informazioni sull'asset da valutare
- Attività di portata limitata, con uno specifico obiettivo di valutazione
- Lo scopo è spesso la validazione dei controlli di sicurezza delle componenti di un asset, senza la messa offline dell'asset stesso
Come Scegliere il Tipo di Testing?
La scelta è spesso dettata dagli obiettivi del cliente o dell'organizzazione che ha commissionato il processo, in generale:
- White Box Testing: Se si vuole verificare la sicurezza di un nuovo sistema da mettere in produzione