Quanto lontano potrebbe arrivare un attaccante?

Un test condotto da internet risponde a domande diverse rispetto a una verifica effettuata con un normale account interno. Definiamo insieme quale scenario considerare e quali autorizzazioni siano presenti all'inizio. Da questa situazione di partenza viene derivato l'ambito consentito. Sistemi, indirizzi e identità vengono documentati; i servizi condivisi e i sistemi di terzi richiedono particolare attenzione. In questo modo la pianificazione impedisce che l'indagine superi involontariamente un'autorizzazione concessa a causa di responsabilità poco chiare.

Anche le condizioni operative fanno parte della preparazione. Vengono definiti referenti, finestre temporali e criteri di interruzione. Modifiche ai sistemi, test di carico o misure più estese non fanno tacitamente parte di ogni pentest. Devono essere espressamente compatibili con la procedura concordata. I risultati indicano poi la posizione di partenza effettiva e la versione verificata. Questo facilita l'interpretazione: una vulnerabilità osservata con diritti amministrativi già presenti ha un valore diverso rispetto a un'evidenza rilevata da un punto di partenza senza privilegi.

La segmentazione di rete da sola non descrive tutte le possibilità di accesso. Account utente, account di servizio e percorsi di amministrazione possono creare altre connessioni tra i sistemi. Il controllo valuta quindi, nell'ambito autorizzato, se i limiti tecnici e i ruoli impongano effettivamente il modello previsto. I singoli errori di configurazione vengono valutati in relazione al loro impatto. Un risultato deve mostrare perché è rilevante per il vostro ambiente e quali presupposti esistono per l'accesso dimostrato.

Negli ambienti IaaS si aggiunge la delimitazione rispetto al provider. Le risorse e la configurazione di responsabilità del cliente possono essere oggetto dell'indagine; i servizi di piattaforma condivisi non vengono per questo automaticamente autorizzati. Prima del controllo vengono chiariti i diritti necessari e i requisiti. Possono essere interessate anche sedi e applicazioni collegate. La pianificazione collega quindi i responsabili cloud e infrastruttura, in modo che il test resti tracciabile e i suoi effetti possano essere controllati entro l'ambito concordato.

Il risultato distingue tra riscontri confermati, indicazioni e aree non verificate. Le evidenze descrivono i presupposti necessari e l'impatto osservato. Devono consentire la valutazione senza raccogliere dati sensibili non necessari. Management e team tecnici ricevono una presentazione adeguata; le osservazioni particolarmente rilevanti vengono comunicate tramite i canali di notifica concordati. In questo modo un pentest diventa più di un semplice export di segnalazioni tecniche: i responsabili possono decidere quali misure attuare per prime.

Nella correzione possono essere coinvolti più team, ad esempio la gestione delle identità, la gestione della rete e l'assistenza applicativa. Le raccomandazioni vengono quindi discusse insieme alle loro dipendenze. Il retest si concentra sulla versione modificata concordata e documenta se la specifica evidenza è ancora ottenibile. Un compenso basato sul risultato può essere regolato, per un obiettivo adeguato e chiaramente definito, tramite Result as a Service. L'ambito di test consentito resta in ogni caso vincolante e non viene ampliato da un incentivo economico.