Il penetration test evidenza lacune sul patching dei sistemi, disattenzioni e scarsa cultura sulla sicurezza

[Aggiornamento articolo Aprile 2017] Per verificare se un sistema informatico è afflitto da una vulnerabilità nota pubblicamente, utilizzando software automatici ed eseguendo uno scan, vengono registrate tutte quelle informazioni rilasciate in fase di connessione che non richiedono autenticazione, come ad esempio il nome del programma in ascolto, il numero di versione, ecc. Questi dati, vengono successivamente utilizzati per eseguire una ricerca all’interno di un “database delle vulnerabilità”, costantemente aggiornato dalla software house che sviluppa l’applicazione usata in fase di test.

Tale operazione di Penetration Test, detta anche “Security Assessment“, può generare una serie di “falsi positivi”, poichè differenti programmi possono dare origine a risultati diversi, per via del loro database, in base alle opzioni utilizzate eseguendo lo scan e perchè applicando una patch di sicurezza, non sempre viene aggiornata la versione del servizio sottoposto al controllo e le informazioni fornite all’utilizzatore.

Tutto ciò, evidenzia l’importanza di un “penetration test”, che riproduce un attacco nella maniera più reale possibile e mette alla luce tutte quelle che sono le vere insicurezze di cui è affetto un sistema.