Penetration test: quanto dura e come prepararsi

“Quanto dura?” e “cosa dobbiamo preparare?” sono le prime due domande che ci fanno quando si parla di penetration test. Le risposte dipendono dal perimetro, ma ci sono regole generali che aiutano a pianificare bene e, soprattutto, a non sprecare giornate di test.

Quanto dura un penetration test

Un penetration test dura in genere 10-15 giorni lavorativi di attività tecnica, a cui si aggiungono la preparazione e la presentazione dei risultati. La durata dipende soprattutto da tre fattori:

• Perimetro: quanti indirizzi IP, quante applicazioni, quante reti.
• Complessità: un sito vetrina richiede molto meno di un portale con ruoli, pagamenti e integrazioni.
• Modalità: in white box, con codice e credenziali, il test è più rapido ed efficace; in black box, senza informazioni, servono più giorni.

Un test esterno su pochi sistemi esposti può richiedere meno giorni; un test interno su una rete con più sedi o un’applicazione web complessa può richiederne di più. Dopo un primo confronto è possibile indicare le giornate necessarie con buona precisione.

Le quattro fasi

• Pianificazione: obiettivi, perimetro, modalità, date. Si firma la manleva con inizio e fine delle attività.
• Preparazione: configurazione degli strumenti e verifica degli accessi.
• Esecuzione: i test veri e propri, senza impatti sui sistemi produttivi.
• Reporting: report, presentazione dei risultati e raccomandazioni operative.

Cosa preparare, caso per caso

Penetration test esterno

Bastano gli indirizzi IP pubblici o gli URL dei sistemi da testare. Se avete un WAF o un firewall applicativo, va inserito in whitelist l’indirizzo da cui partono i test.

Penetration test interno

Servono gli indirizzi delle reti in notazione CIDR (ad esempio 192.168.1.0/24), uno schema di rete per definire il perimetro e un accesso VPN. Noi forniamo una macchina virtuale già configurata da installare nella rete: tutto si svolge da remoto. I dettagli sono nella pagina penetration test interno.

Applicazione web

L’URL dell’applicazione, meglio se di un ambiente di staging o di test, e almeno due account: uno da utente base e uno da amministratore, per verificare che un utente non possa fare ciò che spetta solo all’altro.

Gli errori che fanno perdere giorni

• Non mettere in whitelist l’indirizzo dei test. Ogni giorno speso ad aggirare il WAF è un giorno tolto all’analisi della vostra applicazione, che è ciò che avete pagato per testare.
• Credenziali consegnate in ritardo o non funzionanti. Conviene verificarle prima della data di inizio.
• Ambiente di staging diverso dalla produzione. Se le versioni non coincidono, il test fotografa un sistema che non è quello reale.
• Fornitori non avvisati. Se l’applicazione è gestita da terzi, vanno informati per evitare blocchi e falsi allarmi.
• Perimetro vago. “Testate tutto” non è un perimetro: un elenco chiaro di sistemi rende il test più profondo dove serve.

Durante il test

Le attività sono progettate per non creare disservizi: non noterete anomalie sui sistemi produttivi. È utile indicare un referente tecnico raggiungibile, per chiarire dubbi in pochi minuti invece che in giorni.

Cosa si riceve alla fine

Un report con le vulnerabilità classificate per criticità, le evidenze tecniche, le raccomandazioni per la correzione, un piano d’azione con le priorità e una sintesi per la direzione. Il nostro modo di lavorare è descritto passo per passo in Come lavoriamo e nella pagina penetration test.