Fasi del penetration test: dalla ricognizione al report

Un test di penetrazione strutturato segue un ciclo di vita definito, che garantisce una copertura completa, riduce al minimo i rischi per i sistemi di produzione e produce risultati utili per intervenire. Il framework più adottato deriva dal PTES (Penetration Testing Execution Standard) ed è in linea con l'approccio NIST. Le fasi sono: pianificazione/definizione dell'ambito, ricognizione, scansione, sfruttamento, post-sfruttamento e reporting. Ogni fase si basa sulla precedente: non è possibile sfruttare ciò che non è stato scoperto né riportare ciò che non è stato documentato. Saltare o affrettare le fasi porta a valutazioni incomplete e risultati inaffidabili.

La fase di pianificazione stabilisce le basi legali e operative dell'incarico. Tra i principali deliverable rientrano: uno Statement of Work (SOW) firmato, che definisce obiettivi e prezzi; un documento Rules of Engagement (RoE), che specifica obiettivi autorizzati, finestre temporali, tecniche vietate, contatti di emergenza e requisiti per la gestione dei dati; e una definizione chiara dei criteri di successo (ciò che costituisce il raggiungimento dell'obiettivo). L'ambito deve essere definito con precisione per evitare l'espansione involontaria dell'ambito (test accidentali su sistemi non autorizzati) e garantire che la valutazione copra gli asset più critici. Tutti i canali di comunicazione e le procedure di escalation vengono stabiliti prima dell'inizio di qualsiasi attività tecnica.

La ricognizione passiva raccoglie informazioni sull'obiettivo senza interagire direttamente con i suoi sistemi, utilizzando fonti pubbliche che non generano log sull'obiettivo. Le fonti includono: record WHOIS (registrazione del dominio, contatto del registrante), record DNS, log di certificate transparency (che rivelano i sottodomini), LinkedIn (nomi dei dipendenti, qualifiche professionali, tecnologie utilizzate), offerte di lavoro (che rivelano lo stack tecnologico e gli strumenti), Shodan/Censys (servizi esposti su Internet e porte aperte), repository GitHub (codice sorgente e credenziali inserite accidentalmente) e Google dorking (ricerche specifiche per sito di file sensibili e interfacce esposte).

La ricognizione attiva prevede l'interazione diretta con i sistemi dell'obiettivo per raccogliere informazioni. Questa attività genera log sull'obiettivo ed è intrinsecamente più rumorosa della ricognizione passiva. Le tecniche includono la scansione delle porte (Nmap), l'enumerazione dei servizi, i tentativi di trasferimento di zona DNS e l'acquisizione dei banner. Il confine tra ricognizione e scansione è sfumato: l'obiettivo della ricognizione è raccogliere informazioni, mentre la scansione implica in genere l'identificazione delle vulnerabilità. Tuttavia, la ricognizione attiva può attivare gli avvisi IDS/IPS e può essere rilevata da un obiettivo attento alla sicurezza; perciò i tester bilanciano accuratezza e discrezione in base all'obiettivo dell'incarico (verificare il rilevamento o compromettere il sistema senza farsi individuare).

La fase di scansione individua sistematicamente porte aperte, servizi, versioni software e vulnerabilità note sugli obiettivi inclusi nell'ambito. In questa fase si utilizzano strumenti come Nmap per l'enumerazione dei servizi e Nessus/OpenVAS per la scansione delle vulnerabilità. Il penetration tester esamina manualmente l'output degli scanner e correla i risultati: una versione di Apache identificata da Nmap può corrispondere a exploit noti nel database CVE. Questa fase comprende anche l'analisi manuale delle applicazioni web (con Burp Suite) e il test dei meccanismi di autenticazione. Il risultato è un elenco prioritizzato dei potenziali percorsi di attacco da seguire nella fase di sfruttamento.

La fase di sfruttamento tenta di utilizzare le vulnerabilità identificate per ottenere accesso non autorizzato, escalation dei privilegi o altri obiettivi definiti. Lo sfruttamento deve rimanere rigorosamente entro l'ambito e le Rules of Engagement. Le tecniche includono lo sfruttamento di vulnerabilità senza patch (utilizzando Metasploit o exploit manuali), gli attacchi alle credenziali (password spraying, credenziali predefinite, brute-force), gli attacchi alle applicazioni web (SQL injection, sfruttamento di XSS) e l'ingegneria sociale, se autorizzata. Ogni azione deve essere documentata con data e ora: cosa è stato fatto, quando, quale risultato ha prodotto e quale strumento è stato utilizzato. Questa documentazione costituisce la base probatoria del report finale.

Il post-sfruttamento inizia dopo aver ottenuto l'accesso iniziale ed esplora fino a che punto un attaccante potrebbe estendere la propria portata. Le attività includono: escalation dei privilegi (ottenere privilegi di amministratore/root partendo dall'accesso limitato di un utente), raccolta delle credenziali (estrarre hash, ticket o password in chiaro), movimento laterale (accedere ad altri sistemi utilizzando le credenziali raccolte), individuazione dei dati (identificare i dati sensibili accessibili dalla posizione compromessa) e creazione della persistenza (per simulare l'accesso a lungo termine di un APT). L'obiettivo è dimostrare l'impatto realistico della compromissione iniziale: non solo che un sistema è stato violato, ma anche a cosa potrebbe arrivare infine l'attaccante.

Il pivoting utilizza un host compromesso come relay per raggiungere segmenti di rete altrimenti inaccessibili al penetration tester (ad esempio, una VLAN interna con database raggiungibile solo dal server applicativo). Il comando route add di Metasploit e il tunneling SSH (ssh -L per il port forwarding locale o ssh -D per il proxy SOCKS) sono comuni meccanismi di pivoting. Il pivoting dimostra se la segmentazione della rete è realmente efficace: una rete ben segmentata dovrebbe impedire a un server DMZ compromesso di raggiungere i database interni, mentre una rete piatta consente un libero movimento laterale. I percorsi di pivoting documentati nel report mostrano esattamente dove si trovano le lacune di segmentazione.

Al termine dei test, i penetration tester devono eseguire la pulizia, rimuovendo backdoor, account e strumenti installati. A differenza degli attaccanti reali, i penetration tester sono tenuti dalle Rules of Engagement a ripristinare i sistemi allo stato precedente al test. Le attività di pulizia includono: rimuovere gli account utente creati, eliminare i file copiati (payload e strumenti), rimuovere i meccanismi di persistenza (sottoscrizioni WMI, attività pianificate, chiavi di esecuzione del registro) e confermare con il cliente che tutti gli artefatti del test siano stati eliminati. La conservazione delle evidenze avviene in parallelo: conservare screenshot, output degli strumenti, log e note in un formato sicuro per la stesura del report e per eventuali riferimenti legali.

Il report è il deliverable finale che giustifica l'incarico e guida le attività di remediation. Un report ben strutturato include: un riepilogo esecutivo (valutazione del rischio, impatto aziendale, 3 principali risultati per la direzione); una sezione dei risultati tecnici (ogni risultato con gravità, descrizione, evidenze, passaggi per la riproduzione, impatto aziendale e indicazioni specifiche per la remediation); e un'appendice con l'output grezzo degli strumenti e cronologie dettagliate. I report sono classificati come riservati, perché contengono dettagli sufficienti per ripetere l'attacco. La consegna prevede in genere una riunione di debriefing, durante la quale il team del penetration test illustra i risultati e risponde alle domande del cliente. È la qualità del reporting a distinguere gli incarichi professionali dai semplici dump di scansioni amatoriali.

Security+ verifica spesso la distinzione tra ricognizione passiva e attiva. La ricognizione passiva consiste nel raccogliere informazioni da fonti pubbliche senza contattare direttamente i sistemi dell'obiettivo: sull'obiettivo non vengono creati log. Esempi: leggere i record WHOIS, esaminare LinkedIn, interrogare i log di certificate transparency, eseguire ricerche su Shodan. La ricognizione attiva consiste nell'interagire direttamente con i sistemi dell'obiettivo: scansione delle porte, acquisizione dei banner, tentativi di trasferimento di zona DNS. La ricognizione attiva genera log e può attivare gli avvisi IDS. In un incarico reale, la ricognizione passiva precede quella attiva per costruire una mappa prima di entrare in contatto rilevabile con la rete dell'obiettivo.

Verifichi la Sua comprensione dei concetti di CompTIA Security+ (SY0-701) trattati in questa lezione.

In questa lezione ha imparato che il test di penetrazione segue un ciclo di vita strutturato composto da pianificazione, ricognizione, scansione, sfruttamento, post-sfruttamento e reporting; la ricognizione passiva utilizza fonti OSINT pubbliche senza creare log sul sistema obiettivo, mentre quella attiva interagisce direttamente con i sistemi; e il report finale, con il riepilogo esecutivo, i risultati tecnici e indicazioni specifiche per la remediation, è il deliverable fondamentale che guida i miglioramenti della sicurezza. Ora esamineremo il calcolo del punteggio CVSS e il modo di stabilire le priorità per la remediation delle vulnerabilità.