Vulnerability assessment o penetration test: quale serve alla vostra azienda?

Quando un cliente, un auditor o un bando chiede di “verificare la sicurezza dei sistemi”, le due espressioni che si incontrano più spesso sono vulnerability assessment e penetration test. Vengono usate come sinonimi, ma non lo sono: misurano cose diverse e producono risultati diversi. Capire la differenza evita di comprare l’attività sbagliata.

Cos’è un vulnerability assessment

Il vulnerability assessment è una scansione sistematica dei sistemi, in gran parte automatizzata, che individua le vulnerabilità note: software non aggiornato, configurazioni errate, servizi esposti senza motivo, certificati scaduti. Gli strumenti confrontano ciò che trovano con i database pubblici delle vulnerabilità e assegnano a ciascuna un livello di gravità.

Il risultato è un elenco ampio e classificato. È rapido, si presta a essere ripetuto con regolarità e dà una fotografia dell’igiene dei sistemi. Ha però due limiti: non verifica se le vulnerabilità sono davvero sfruttabili, e non vede ciò che uno strumento automatico non può vedere.

Cos’è un penetration test

Il penetration test è un attacco simulato condotto da persone. I tecnici partono dalle vulnerabilità, provano a sfruttarle e le concatenano, come farebbe un attaccante reale, per capire fino a dove si può arrivare: leggere dati di altri utenti, diventare amministratori, raggiungere i server interni.

Trova anche le falle che nessuno scanner rileva: errori nella logica di business di un’applicazione, controlli di accesso che esistono solo nell’interfaccia, combinazioni di problemi singolarmente “bassi” che insieme diventano critici. Il risultato non è un elenco, ma la dimostrazione concreta del rischio, con le evidenze.

Le differenze in sintesi

• Metodo: il vulnerability assessment è soprattutto automatico; il penetration test è manuale, guidato dall’esperienza.
• Domanda a cui risponde: “quali vulnerabilità note abbiamo?” contro “cosa può fare un attaccante con i nostri sistemi?”.
• Falsi positivi: frequenti nel vulnerability assessment; nel penetration test ogni problema è verificato.
• Logica applicativa: invisibile agli scanner; è il terreno principale del penetration test.
• Durata: pochi giorni il primo; in genere 10-15 giorni lavorativi il secondo, in base al perimetro.

Quale serve per la conformità

Per la conformità normativa e per ottenere risultati tangibili, un penetration test è necessario. La NIS2 chiede di valutare l’efficacia delle misure di sicurezza, la ISO 27001 chiede di verificarle, e molti clienti e bandi chiedono esplicitamente un penetration test: un elenco di vulnerabilità non dimostra se e come i sistemi possono essere compromessi, un penetration test sì.

Il vulnerability assessment resta utile come controllo periodico tra un penetration test e l’altro, ad esempio trimestrale, per accorgersi subito di un sistema non aggiornato o di un servizio esposto per errore.

Interno, esterno, applicativo

Entrambe le attività si possono svolgere su perimetri diversi: i sistemi esposti su Internet, la rete interna, le singole applicazioni. Sulla rete interna il penetration test è particolarmente prezioso, perché simula ciò che accade dopo un’email di phishing andata a segno: lo descriviamo nella pagina penetration test interno (LAN).

In conclusione

Il vulnerability assessment dice quante porte potrebbero essere aperte; il penetration test dice quali si aprono davvero e cosa c’è dietro. Se dovete dimostrare la sicurezza dei vostri sistemi a un cliente, a un auditor o alla direzione, la risposta è il penetration test. Trovate come lo svolgiamo nella pagina penetration test e vulnerability assessment.