Penetration testing e vulnerability assessment
Penetration testing e vulnerability assessment: una scansione individua le vulnerabilità note, un pentest dimostra cosa può fare realmente un attaccante. Ecco quale le serve e quando.
Penetration testing e vulnerability assessment, ovvero pentest e vulnerability scan, è la differenza tra un elenco e una prova. Un vulnerability assessment utilizza strumenti di scansione per elencare le vulnerabilità note nei suoi sistemi. Un penetration test prevede che una persona esperta tenti di penetrare, concatenando le vulnerabilità per dimostrare cosa potrebbe realmente raggiungere un attaccante.
Inizi con vulnerability assessment regolari per mantenere pulite le basi. Aggiunga un penetration test prima di un lancio, dopo modifiche importanti o quando un cliente, un assicuratore o una normativa richiede una prova. La maggior parte dei programmi maturi utilizza entrambi.
A confronto
| Funzionalità | Penetration testing | Vulnerability assessment |
|---|---|---|
| Domanda principale | Un attaccante può entrare e fino a dove? | Quali vulnerabilità note esistono? |
| Metodo | Test manuale da parte di uno specialista, supportato da strumenti | Scansione prevalentemente automatizzata, con una parte di revisione |
| Sfrutta le vulnerabilità | Sì, secondo regole concordate | No, rileva e segnala soltanto |
| Profondità | Approfondito, individua difetti logici e attacchi concatenati | Ampio, individua problemi noti su molti sistemi |
| Falsi positivi | Pochi, i risultati sono verificati | Più numerosi, i risultati richiedono una valutazione |
| Risultato | Report descrittivo con prove, impatto e correzioni | Elenco prioritizzato dei risultati e punteggi di gravità |
| Frequenza | Una o due volte l'anno, e dopo modifiche importanti | Mensile, trimestrale o continuo |
| Costo | Più alto, lavoro manuale specializzato | Più basso, in gran parte automatizzato |
| Momento tipico | Lancio, audit, richiesta di un cliente o di un assicuratore | Igiene informatica e conformità di routine |
In cosa eccelle ciascuno
Penetration testing
- Mostra l'impatto reale, non solo un punteggio di gravità
- Individua difetti logici che uno scanner non può vedere
- Verifica i risultati, riducendo i falsi allarmi
- Accettato come prova da molti revisori e clienti
- Costa di più per singolo test
- È un'istantanea, non un controllo continuo
- La qualità dipende molto dal tester
Vulnerability assessment
- Veloce ed economico su molti sistemi
- Facile da ripetere con regolarità
- Individua tempestivamente patch mancanti ed errori di configurazione
- Buona base per una routine di patching
- Non dimostra che un problema sia sfruttabile
- Produce falsi positivi che richiedono una revisione
- Non rileva difetti logici e attacchi concatenati
Scegliere il penetration testing quando
- Sta lanciando una nuova applicazione, un negozio o un'API
- Un cliente, un assicuratore o un'autorità chiede un report di pentest
- Ha apportato modifiche importanti a sistemi o architettura
- Vuole sapere fino a dove potrebbe realmente arrivare un attaccante
- Le sue scansioni di routine sono pulite e desidera un test più severo
Scegliere un vulnerability assessment quando
- Ha bisogno di un controllo regolare di server, dispositivi e software
- Vuole una panoramica rapida ed economica della sua esposizione
- Sta costruendo una routine di gestione delle patch
- Non ha mai scansionato i suoi sistemi
- Ha bisogno di prove continue per la conformità tra un pentest e l'altro
Domande frequenti
Qual è la differenza tra un pentest e una vulnerability scan?
Penetration testing e vulnerability assessment sono una scelta obbligata?
Quale dovrei fare prima?
Con quale frequenza dovrei eseguire un pentest?
Altro su: confronti
Non è sicuro che questo valga per lei?
Un ingegnere senior analizza il suo sito, la sua presenza sui motori di ricerca e il modo in cui le richieste le arrivano, poi annota le tre cose da sistemare per prime. Il documento resta suo in ogni caso.