Scansione delle vulnerabilità e penetration testing

La sicurezza reattiva risponde agli attacchi dopo che si sono verificati; la sicurezza proattiva individua e corregge le vulnerabilità prima che gli attaccanti possano sfruttarle. Due pratiche proattive complementari sono il vulnerability scanning e il penetration testing. Entrambe identificano le vulnerabilità di sicurezza, ma differiscono significativamente per ambito, metodologia, requisiti di autorizzazione, livello di rischio e risultati forniti all'organizzazione. Comprendere queste differenze è essenziale per chi sostiene l'esame Security+ e per comunicare agli stakeholder ciò che ciascuna attività può — e non può — dire sul livello di sicurezza dell'organizzazione.

Il vulnerability scanning è un processo automatizzato che verifica i sistemi rispetto a un database di vulnerabilità note. Gli scanner confrontano i numeri di versione, le impostazioni di configurazione e le firme del software con i database CVE e gli avvisi dei fornitori per individuare potenziali vulnerabilità. La scansione è in genere non intrusiva: identifica la probabile esistenza di una vulnerabilità in base alla versione o alla configurazione, ma generalmente non tenta di sfruttarla. Le scansioni possono essere eseguite regolarmente (ogni giorno, ogni settimana o continuamente) e su larga scala, su migliaia di sistemi. Sono un requisito di conformità previsto dal PCI-DSS (scansioni esterne trimestrali eseguite da un ASV) e da molti altri framework.

Il test di penetrazione (pen test) è un tentativo strutturato e mirato a compromettere i sistemi utilizzando le stesse tecniche che userebbero gli attaccanti. A differenza della scansione, il test di penetrazione sfrutta attivamente le vulnerabilità per confermare che siano reali e sfruttabili, non soltanto presenti in teoria. Chi esegue il test dimostra l'impatto effettivo: è possibile ottenere l'accesso con privilegi? È possibile esfiltrare dati? È possibile spostarsi lateralmente da un sistema a un altro? Il test di penetrazione fornisce una prova della sfruttabilità che determina l'urgenza della correzione e spesso individua percorsi di attacco complessi e articolati in più fasi che gli scanner automatizzati non riescono a identificare.

Eseguire un test di penetrazione senza autorizzazione è illegale: negli Stati Uniti costituisce accesso non autorizzato ai sensi di leggi come il CFAA (Computer Fraud and Abuse Act). Prima dell'inizio di qualsiasi test di penetrazione, è necessario firmare un documento sulle Regole d'ingaggio (Rules of Engagement, RoE) che definisca: l'ambito (sistemi, intervalli di indirizzi IP e domini interessati), la finestra temporale (orario lavorativo o non lavorativo), le azioni vietate (nessun attacco fisico e nessun DoS sui sistemi di produzione), i contatti di emergenza e le firme di autorizzazione. Le lettere di autorizzazione portate con sé dal team che esegue il test dimostrano l'autorizzazione qualora il team venga scoperto dal personale di sicurezza. Non inizi mai i test senza un'autorizzazione scritta completa.

I test di penetrazione vengono classificati in base alla quantità di informazioni che chi esegue il test possiede sull'obiettivo. Un test black box non fornisce informazioni preliminari: il tester inizia come farebbe un attaccante esterno, utilizzando OSINT e scansioni per individuare gli obiettivi. È l'approccio più realistico, ma può non rilevare le vulnerabilità interne. Un test white box fornisce informazioni complete: diagrammi di rete, codice sorgente e credenziali, consentendo un test approfondito ma meno realistico. Un test gray box fornisce informazioni parziali, ad esempio un account utente standard, e rappresenta lo scenario di un insider compromesso o di credenziali sottratte. La maggior parte degli incarichi reali è di tipo gray box o black box.

I test di penetrazione prendono in considerazione diversi punti di osservazione. Un test esterno simula un attaccante su Internet senza accesso interno e verifica le difese perimetrali, le applicazioni esposte su Internet e la sicurezza della posta elettronica. Un test interno simula una minaccia già presente nella rete, ad esempio un dipendente compromesso o un malware che effettua un pivot, e verifica i controlli contro il movimento laterale, la sicurezza delle applicazioni interne e il rafforzamento di Active Directory. La maggior parte delle organizzazioni trae vantaggio da entrambe le prospettive. Molte violazioni reali prevedono che un attaccante esterno ottenga l'accesso iniziale e si sposti poi all'interno, rendendo insieme i due tipi di test più efficaci di ciascuno preso singolarmente.

Gli scanner delle vulnerabilità non sono infallibili. Si parla di falso positivo quando lo scanner segnala una vulnerabilità che in realtà non esiste, ad esempio perché un numero di versione sembra vulnerabile, ma la correzione è stata sottoposta a backport. I falsi positivi sprecano risorse per la correzione e riducono la fiducia nei risultati dello scanner. Si parla di falso negativo quando esiste una vulnerabilità reale, ma lo scanner non la rileva, ad esempio perché la vulnerabilità richiede l'autenticazione e la scansione non l'ha utilizzata, oppure perché la vulnerabilità è nuova e non è ancora presente nel database. Rispetto alle scansioni senza autenticazione, le scansioni con credenziali riducono drasticamente i falsi positivi e i falsi negativi.

I moderni programmi di sicurezza considerano la gestione delle vulnerabilità un processo continuo, anziché un'attività periodica. La scansione continua individua le nuove vulnerabilità man mano che emergono e vengono pubblicati nuovi CVE, invece di attendere la successiva finestra di scansione pianificata. Il ciclo di gestione delle vulnerabilità comprende: individuazione, definizione delle priorità (in base al punteggio CVSS e al contesto aziendale), correzione (applicazione di patch, configurazione o accettazione del rischio), verifica (nuova scansione per confermare la correzione) e reportistica. L'integrazione con la gestione delle patch garantisce che le vulnerabilità individuate attivino flussi di lavoro automatizzati per la distribuzione delle patch. Gli SLA definiscono entro quanto tempo debbano essere corrette le vulnerabilità di diversa gravità (ad esempio, Critica: 24 ore; Alta: 7 giorni).

Un test di penetrazione si conclude con un report completo, che costituisce il principale risultato dell'attività. Il report include in genere: un riepilogo per i dirigenti destinato al management non tecnico (valutazione complessiva del rischio, impatto aziendale e risultati principali); una sezione sui risultati tecnici (descrizioni dettagliate delle vulnerabilità, schermate come prove e passaggi per riprodurle); e una roadmap per la correzione con raccomandazioni ordinate per priorità. In genere, i risultati vengono classificati per livello di rischio (Critico/Alto/Medio/Basso) utilizzando i punteggi CVSS insieme al contesto aziendale. Un buon report di un test di penetrazione consente al cliente di riprodurre e verificare ogni risultato e di comprendere esattamente quali interventi di correzione siano necessari.

I programmi di bug bounty ricompensano i ricercatori di sicurezza esterni che individuano e segnalano responsabilmente le vulnerabilità nei sistemi di un'organizzazione. Piattaforme come HackerOne, Bugcrowd e Intigriti mettono in contatto le organizzazioni con migliaia di ricercatori di sicurezza in tutto il mondo. I bug bounty forniscono test esterni continui su vasta scala, con pagamenti effettuati soltanto per i risultati convalidati. Integrano i test di penetrazione interni offrendo prospettive diverse da parte dei ricercatori e test continui tra una valutazione formale e l'altra. I risultati critici vengono in genere ricompensati con 500-50.000 dollari o più, a seconda della gravità e del programma. Le organizzazioni definiscono l'ambito e le regole in modo simile alle Regole d'ingaggio di un test di penetrazione.

Per l'esame Security+, è importante comprendere chiaramente le differenze principali. Scansione delle vulnerabilità: automatizzata, non distruttiva, con ampia copertura; individua potenziali vulnerabilità, non ne conferma la sfruttabilità; viene eseguita frequentemente o continuamente, in genere dal personale interno. Test di penetrazione: manuale o semiautomatizzato, potenzialmente in grado di causare interruzioni, con copertura approfondita e mirata; conferma la sfruttabilità effettiva e l'impatto nel mondo reale; viene eseguito periodicamente (con cadenza trimestrale o annuale) e richiede in genere competenze esterne specializzate e un'autorizzazione formale. I due approcci sono complementari: la scansione offre ampiezza, mentre il test di penetrazione offre profondità. Un programma di sicurezza maturo utilizza regolarmente entrambi.

In questa lezione ha appreso che la scansione delle vulnerabilità è automatizzata, frequente e non invasiva: individua potenziali vulnerabilità senza sfruttarle; il test di penetrazione è manuale, mirato e sfrutta attivamente le vulnerabilità per dimostrare l'impatto reale e i percorsi di attacco; entrambi richiedono un'autorizzazione adeguata tramite documenti sulle Regole d'ingaggio; inoltre, la scansione con credenziali riduce significativamente i falsi positivi e i falsi negativi rispetto alle scansioni senza autenticazione. Ora esamineremo alcuni strumenti di scansione comuni, tra cui Nessus, OpenVAS e Nmap.