Penetration testing: la differenza tra essere protetti e credersi al sicuro

Ovviamente no.
In realtà, gli attacchi informatici colpiscono molto di più le aziende, soprattutto quelle piccole e medie. Secondo il rapporto Clusit 2023, il 46% degli attacchi gravi in Italia ha riguardato aziende private. E la crescita, rispetto al periodo pre-pandemia, è stata netta: si parla di un incremento del +60% dal 2020 ad oggi.

Ma che cos’è un attacco informatico

Un attacco informatico è un tentativo deliberato e organizzato di violare la sicurezza di un sistema, sfruttando vulnerabilità per accedere a dati riservati o interrompere il corretto funzionamento dell’infrastruttura digitale. È simile a quando un ladro ben preparato individua una porta vulnerabile per entrare in un edificio e impossessarsi di beni preziosi. Un esempio lampante è l’attacco ransomware WannaCry del 2017, che ha colpito migliaia di organizzazioni in tutto il mondo, inclusi ospedali e imprese, criptando i dati dei sistemi e richiedendo un riscatto per il loro rilascio. Questo episodio ha messo in evidenza quanto possa essere devastante una minaccia informatica, soprattutto quando i sistemi non sono adeguatamente aggiornati e protetti.

E allora come possiamo difendere un’impresa, così come difendiamo il nostro portafoglio?

È qui che entra in gioco la cybersecurity.
Un settore che cresce a ritmi serrati e che oggi rappresenta un vero e proprio scudo per le aziende che vogliono stare al passo con le minacce moderne.
KerberosWeb, in questo contesto, non si limita a vendere un servizio.
Il nostro obiettivo è accompagnare il cliente in un percorso di consapevolezza: formarlo, far sì che capisca davvero i rischi e i danni che un attacco informatico può provocare.
Nel 2023, un’azienda su tre in Europa ha subito un tentativo di attacco ransomware.
Fonte: ENISA Threat Landscape 2023.

Come ci difendiamo?

Parliamo allora di un concetto che si sente nominare spesso ma che non tutti conoscono davvero: il penetration test.

Il penetration test è solo uno dei tre step principali per valutare la sicurezza di un’infrastruttura informatica. Il processo completo, in genere, si sviluppa in tre fasi:

1. Vulnerability Assessment
2. Penetration Test
3. Red Team Operation

Si parla di approccio offensivo, perché ogni step è pensato per simulare un vero attacco hacker. L’obiettivo è individuare, dall’esterno, tutte quelle vulnerabilità che l’azienda può non aver notato.

Vulnerability Assessment

È la fase iniziale, la più semplice, ma già molto utile.
Si tratta di una scansione automatica, svolta da software specializzati, per individuare le vulnerabilità più evidenti: aggiornamenti mancanti, configurazioni errate, porte esposte.
Oggi molti attacchi sono portati avanti da bot automatici che girano costantemente sulla rete, cercando falle da sfruttare in modo massivo.
Fare un vulnerability assessment periodico è un primo passo fondamentale per non diventare bersagli facili.

Penetration Test

Il secondo step è più mirato e profondo.
Dopo un colloquio con il cliente, si individuano gli asset più critici: quelli che l’azienda vuole proteggere di più. A quel punto entra in gioco un operatore umano che, proprio come farebbe un hacker, cerca di penetrare nei sistemi informatici simulando un attacco reale.
Lo scopo non è “bucare” per il gusto di farlo, ma capire fin dove si potrebbe arrivare se l’attacco fosse vero. Ogni falla individuata viene poi documentata e si lavora a stretto contatto col cliente per correggerla.
Il valore aggiunto sta proprio qui: comprendere il rischio con un approccio pratico e ricevere supporto concreto per risolvere i problemi prima che sia troppo tardi.

Red Teaming

E qui arriva la parte che ci diverte di più.
Il red teaming è la simulazione completa di un attacco, anche fisico.
Si definiscono obiettivi chiari insieme al cliente – ad esempio, ottenere accesso a determinati file riservati – e si pianifica una vera e propria “missione”.
Potremmo presentarci come tecnici dell’impianto idraulico, oppure restare appostati fuori dagli uffici cercando di connetterci alla rete Wi-Fi. L’obiettivo è uno: arrivare dove solo un attaccante motivato arriverebbe. E una volta dentro, capire come e perché ci siamo riusciti, per poi chiudere tutte le falle con il cliente.
In alcuni casi, siamo riusciti a prendere il controllo di stampanti, videocamere di sorveglianza e interi server aziendali, semplicemente sfruttando errori comuni o disattenzioni.

È naturale chiedersi: cosa succede se non trovate falle?
Beh, è un’ottima notizia, certo.
Ma non è un motivo per abbassare la guardia. La sicurezza non è mai una cosa “fatta una volta per tutte”. Ogni giorno vengono scoperte nuove vulnerabilità: anche un semplice componente non aggiornato può trasformarsi in una porta d’ingresso.
La tua rete è sicura oggi. Ma tra sei mesi, se una stampante si blocca sugli aggiornamenti, potrebbe diventare l’anello debole di tutta l’infrastruttura.

Da dove devo cominciare?

Non tutte le aziende devono necessariamente affrontare tutte le tre fasi.
Anche solo partire con un buon Vulnerability Assessment può già fare la differenza e impedire gran parte degli attacchi.
L’importante è capirlo: difendersi non vuol dire reagire dopo un attacco, ma prevenirlo.

In conclusione

La missione di KerberosWeb non è vendere sicurezza ma aiutare le aziende a diventare più forti, più consapevoli e più stabili. Un’azienda sicura è un’azienda che non perde dati, non blocca la produzione, non subisce ricatti, e soprattutto: un’azienda sicura è un pezzo di mercato che continua a funzionare.

Foto della copertina di freestocks su Unsplash