Articolo Pubblicazioni

Metodologie di penetration testing: OSSTMM, PTES, OWASP e NIST SP 800-115 a confronto

di · Pubblicato il 6 giugno 2018 - Aggiornato il 14 novembre 2026 · Tratto da «Penetration Testing: metodologie e simulazione di attacchi»

Abstract

L’articolo riprende la lezione «Penetration Testing. Metodologie e simulazione di attacchi» del corso di Tecnologie per la sicurezza informatica dell’anno accademico 2017/2018. Distingue security assessment, vulnerabilità e penetration test, confronta le metodologie NIST SP 800-115, OSSTMM, OWASP Testing Guide e PTES, descrive tipi di test, vettori e strumenti e segue le fasi del PTES, dalle regole di ingaggio alla raccolta di informazioni, fino all’analisi delle vulnerabilità, allo sfruttamento e al report.

Vincenzo Calabrò | Metodologie di penetration testing: OSSTMM, PTES, OWASP e NIST SP 800-115 a confronto
 

Assessment, vulnerabilità e penetration test

La sicurezza è parte integrante dell’architettura di un’organizzazione, di un servizio o di un’applicazione, e nessuna soluzione da sola la garantisce. Il security assessment, chiamato anche audit o revisione di sicurezza, verifica che i controlli necessari siano integrati nel progetto e documenta le distanze fra il progetto e le politiche di sicurezza. Comprende lo studio dei requisiti, la revisione di politiche e documenti, l’identificazione dei rischi, la scansione delle vulnerabilità, l’analisi dei dati e il report.
Una vulnerabilità è tutto ciò che espone il sistema ad accessi non autorizzati, a modifiche o cancellazioni fraudolente, a perdite di dati, a interruzioni del servizio e a danni economici o di reputazione. La sua gravità, da bassa a critica, dipende dai fattori tecnici e dal contesto. La stessa debolezza pesa diversamente su una postazione di prova e sul server di produzione. Il penetration test è la parte dell’assessment che cerca di trovare ed eliminare le vulnerabilità che un attaccante potrebbe sfruttare per raggiungere il bersaglio.

Quattro metodologie

  • NIST SP 800-115, la guida del National Institute of Standards and Technology statunitense, descrive il test come un ciclo continuo di ricerca e attacco, dalla ricognizione all’identificazione e allo sfruttamento delle vulnerabilità, fino all’escalation dei privilegi e ai punti di appoggio per proseguire. Indica quattro obiettivi, cioè misurare quanto il sistema regge ad attacchi realistici, il livello di sofisticazione necessario per comprometterlo, le misure di sicurezza aggiuntive da adottare e la capacità dei difensori di accorgersi dell’attacco e reagire.
  • OSSTMM, dell’ISECOM, classifica i bersagli in quattro canali, la sicurezza delle comunicazioni, quella dello spettro e dei segnali, quella fisica e delle persone, e quella logica di sistemi operativi e applicazioni, comprese le componenti mobile, web e IoT.
  • OWASP Testing Guide, dell’Open Web Application Security Project, è il riferimento per il test delle applicazioni web.
  • PTES, il Penetration Testing Execution Standard, è una metodologia generale proposta da un gruppo di professionisti e descrive il test in sette fasi.

Tipi di test, vettori e strumenti

L’OSSTMM chiama vettore la posizione dell’attaccante, interna o esterna al perimetro, e tipo di test la quantità di informazioni condivise fra chi attacca e chi è attaccato. Si va dal test white box, in cui si condivide tutto, al black box, in cui non si condivide nulla e si può valutare anche la capacità di difesa. Fra gli attacchi rientrano quelli ai sistemi operativi, alle configurazioni errate, alle applicazioni e ai prodotti installati con le impostazioni predefinite. Le minacce riguardano la rete, gli host e le applicazioni.
Esistono distribuzioni e strumenti dedicati, come Kali Linux, BackBox, Metasploit e Burp Suite. Nella pratica però il test resta un lavoro artigianale, adattato a ogni bersaglio, che usa strumenti standard e a volte strumenti o exploit scritti per l’occasione. Il gruppo di lavoro dovrebbe unire competenze diverse, dai sistemi operativi alle reti, dalla programmazione alle basi di dati, dalla crittografia alle norme e all’ingegneria sociale, con molte ore di pratica.

Le fasi secondo il PTES

  1. Regole di ingaggio. Si definiscono scopo, tempi, bersagli e costi, con questionari sul tipo di test, rete, applicazioni web, wireless, sicurezza fisica o ingegneria sociale. Si fissano date, intervalli di indirizzi e domini, rapporti con fornitori di cloud, connettività e servizi di sicurezza, limiti dell’ingegneria sociale, obiettivi primari e secondari e canali di comunicazione per le emergenze.
  2. Raccolta di informazioni. Si raccolgono più informazioni possibili sul bersaglio, su tre livelli di profondità, dagli strumenti automatici all’analisi manuale fino all’OSINT sui social network. La raccolta può essere passiva, da fonti aperte e servizi di terze parti, o attiva, con tecniche di ingegneria sociale. Si mappano rete, sistemi e organizzazione con strumenti come whois, interrogazioni DNS, motori di ricerca e servizi come Shodan.
  3. Modellazione delle minacce. Si individuano gli asset di valore e gli attaccanti plausibili.
  4. Analisi delle vulnerabilità. Si cercano le debolezze sfruttabili nei sistemi individuati.
  5. Sfruttamento. Si verifica se le vulnerabilità permettono davvero di superare le difese.
  6. Post sfruttamento. Si valuta il valore di ciò che si è ottenuto e fin dove si può arrivare.
  7. Report. Si documentano i risultati per il management e per i tecnici, con le misure correttive.

Laboratorio e aspetti legali

La lezione proseguiva con l’allestimento di un laboratorio, con Kali Linux e macchine bersaglio in ambienti virtuali, per esercitarsi sulle prime fasi senza toccare sistemi reali. Il punto legale è decisivo. Un penetration test senza un incarico scritto che ne definisca ambito, tempi e limiti è un accesso abusivo a sistema informatico. Le regole di ingaggio sono quindi la prima garanzia per chi esegue il test e per chi lo commissiona.
 
Vedi anche: l’articolo del 2019 Hardening di un sistema informativo.
 
Vincenzo Calabrò | Ingegnere informatico specializzato in sicurezza informatica e investigazioni digitali. Funzionario informatico del Ministero dell'Interno; su incarico autorizzato si occupa di sicurezza informatica e di perizie informatiche forensi. Autore di articoli e saggi. Lecturer, Speaker, Trainer.
Profili: Google Scholar · ORCID · ResearchGate · Academia.edu · CyberSecurity360 · AgendaDigitale · ICT Security Magazine · LinkedIn