Il test esterno risponde a una domanda: che cosa può raggiungere qualcuno da internet, e che cosa succede quando ci riesce. Il test interno risponde a un’altra: che cosa può fare chi è già dentro, con la postazione di lavoro di un dipendente e nient’altro.
Nella maggior parte delle reti aziendali la distanza tra un utente ordinario e un amministratore di dominio è di pochi passi: una password in una condivisione di file, un account di servizio con troppi diritti, un modello di certificato che chiunque può richiedere. Troviamo questi passi e mostriamo il percorso.
01Perimetro
Che cosa testiamo
Perimetro esterno: servizi esposti, VPN e accesso remoto, posta, DNS
Vulnerabilità note e configurazione debole dei servizi di rete
Active Directory: Kerberos, delega, servizi certificati, criteri di gruppo
Esposizione delle credenziali: condivisioni, script, politica delle password, riutilizzo
Movimento laterale ed escalation dei privilegi su Windows e Linux
Segmentazione di rete e isolamento delle zone sensibili
Reti wireless e controllo degli accessi alla rete
Sistemi di virtualizzazione, di backup e di gestione
02Approccio
Come si svolge il lavoro
01
Individuazione
Identifichiamo host e servizi, compresi quelli raggiungibili a indirizzi e nomi che mancano nel tuo inventario.
02
Analisi delle vulnerabilità
Nei servizi si cercano vulnerabilità note e configurazioni deboli. Ogni candidato viene verificato a mano prima di entrare nel report.
03
Sfruttamento
Le debolezze verificate vengono sfruttate nel rispetto delle regole di ingaggio per ottenere un punto d’appoggio e dimostrare l’impatto.
04
Movimento ed escalation
Dal punto d’appoggio ci muoviamo verso gli obiettivi concordati, usando le tecniche catalogate in MITRE ATT&CK, e registriamo ogni passo.
05
Pulizia
Account, file e modifiche creati durante il test vengono rimossi ed elencati nel report.
Sì. Ci colleghiamo tramite una VPN che fornisci tu oppure tramite un piccolo dispositivo o una macchina virtuale collocati nella tua rete. La posizione di partenza è la stessa del lavoro in sede.
Manderete fuori servizio il dominio?
No. Le tecniche che mettono a rischio la disponibilità sono escluse dalle regole di ingaggio oppure eseguite solo in una finestra che approvi tu. Lo scopo è dimostrare l’accesso, non causare danni.
Qual è la differenza rispetto a una scansione di vulnerabilità?
Una scansione elenca le possibili debolezze. Un penetration test dimostra quali di esse possono essere usate, le combina e mostra dove arriva un attaccante. Per questo PCI DSS e altri framework li trattano come requisiti separati.
Una simulazione, guidata da un obiettivo, di un avversario reale contro persone, processi e tecnologie, per testare se un attacco verrebbe rilevato e fermato.