Caratteristiche e differenze tra Vulnerability Assessment e Penetration Testing

Una valutazione della vulnerabilità ci permette di avere una panoramica della posizione attuale dell’azienda, documentando quali sono le politiche e i controlli di sicurezza che questa sta adottando. Una valutazione di vulnerabilità è il processo di esecuzione di strumenti manuali e automatizzati contro un set definito di indirizzi IP o intervalli IP per identificare le vulnerabilità noti e potenziali in un ambiente IT. Gli indirizzi IP sono tutti quei dispositivi attivi e connessi ad una rete che possono essere scansionati per controllare i servizi e i protocolli che girano su di essi.

Dando quindi una definizione di vulnerabilità possiamo dire che sono delle debolezze riscontrate all’interno di un sistema, di una rete. Sono delle falle che possono essere sfruttate da un utente malevolo che vuole intrufolarsi nell’obiettivo.

Possiamo dire che esistono due tipologie differenti di vulnerabilità: vulnerabilità logica e vulnerabilità fisica.

1. Le vulnerabilità fisiche sono quelle vulnerabilità che si trovano effettivamente all’interno di un azienda: informazioni sensibili troppo reperibili facilmente nell’azienda oppure informazioni possibilmente ricavabili tramite i dipendenti della stessa azienda attraverso diversi approcci di ingegneria sociale.
2. Le vulnerabilità logiche sono invece associate ai computer aziendali, ai dispositivi di infrastruttura, al software e alle applicazioni.

C’è una confusione globale nella classificazione di questa attività perchè molti fornitori dicono di offrire determinati servizi, invece poi si rivelano differenti. Esistono però 3 livelli comuni di servizio chiamati port scanning, vulnerability assessment, and penetration testing.
Il port scanning viene effettuato tramite l’utilizzo di un software che ci permette di individuare le eventuali porte aperte, il vulnerability assessment si usa per rilevare le possibili minacce presenti nella rete o nel sistema.

Il penetration testing fa uso di tool che ti permettono di facilitare il processo di test per tentare di sfruttare il sistema e di solito si tenta di infiltrarsi dall’esterno dei sistemi, delle reti o delle applicazioni web tramite internet.

Il test di penetrazione interna, al contrario, fornisce informazioni su ciò che un hacker potrebbe fare al sistema una volta che le contromisure esterne sono violate con successo. I penetration testing sono differenti dai vulnerability assessment perchè i primi utilizzano tecniche manuali con l’integrazione di strumenti automatizzati per sfruttare il sistema, mentre i vulnerability assessment dipendono nella maggior parte dei casi da strumenti automatizzati che ci permettono di rilevare le debolezze del sistema.

Possiamo concludere dicendo che entrambe le attività vengono scelte a seconda della richiesta del cliente. Se la società desidera chiarire il numero di potenziali debolezze di sicurezza esistenti nel loro sistema, un vulnerability assessment è apparentemente una scelta adeguata. Se, invece, l’obiettivo è quello di verificare come le vulnerabilità influiscono nel sistema aziendale, un penetration testing ben programmato è ovviamente una decisione razionale.