Penetration test: differenze tra le versioni

Versione delle 17:45, 27 dic 2019

Versione delle 16:29, 27 gen 2020

Riga 41:

I processi di penetration test possono essere effettuati in diverse modalità. La differenza consiste sulla quantità e qualità delle informazioni disponibili agli analisti riguardo ai sistemi analizzati. I test ''Black Box'' non presuppongono precedente conoscenza dell'infrastruttura oggetto di analisi e gli esaminatori necessitano di determinare architettura e servizi dei sistemi prima di iniziare l'analisi.

Nei test ''[[White Box]]'' sono invece fornite conoscenze dettagliate dell'infrastruttura da esaminare, spesso comprensive di schemi di rete, codice sorgente delle applicazioni e liste di indirizzi IP presenti nella rete. Esistono anche varianti a queste metodologie definibili ''[[Grey Box]]''.<ref name="SANS Institute">{{Cita web|http://www.sans.org/reading-room/whitepapers/bestprac/writing-penetration-testing-report-33343|Writing a Penetration Testing Report|10 dicembre 2016|data=6 aprile 2010|editore=[[SANS]]|formato=pdf|lingua=en}}</ref> I risultati dei penetration test possono valutare gli impatti di un attacco e suggerire contromisure per ridurre i rischi.<ref name="SANS Institute"/>

I processi di analisi che vengono condotti in un penetration test hanno diversi tempi di azione in cui sono alternate fasi manuali e fasi automatiche. Vengono acquisite inizialmente le informazioni principali sull'[[Architettura (computer)|architettura]] della piattaforma e sui servizi offerti. Dall'analisi di questi dati deriva la scelta di come condurre il passo successivo, consistente in una enumerazione dei principali errori e problemi. Software automatizzati uniti all'esperienza manuale dell'analista permettono quindi di evidenziare tutte le possibili vulnerabilità, incluse quelle più recenti e alcune ancora non di pubblico dominio. I problemi riscontrati sono quindi manualmente verificati e sono prese le evidenze, o prove, che certificano l'esistenza delle problematiche stesse.

Riga 101:

* Offensive Security (offensive-security.com)- [[Offensive Security Certified Professional]] ([[Offensive Security Certified Professional|OSCP]])

La IACRB (Information Assurance Certification Review Board) fornisce una certificazione per penetration tester nota come Certified Penetration Tester (CPT). Il CPT richiede che il candidato superi un esame a scelta multipla tradizionale e un esame pratico che richiede al candidato di eseguire un pen test su di un server.<ref name="iacertification.org">{{Cita web|http://www.iacertification.org/cpt_certified_penetration_tester.html|Certified Penetration Tester (CPT)|10 dicembre 2016|editore=IACRB|lingua=en}}</ref>

=== Payload ===

Riga 108:

== Note ==

<references/>

== Bibliografia ==

* Hunt, Edward (2012). [http://www.computer.org/csdl/mags/an/2012/03/man2012030004.html "US Government Computer Penetration Programs and the Implications for Cyberwar"], ''IEEE Annals of the History of Computing'' 34(3)

* [[Johnny Long|Long, Johnny]] (2007). ''Google Hacking for Penetration Testers'', [[Elsevier]]

* MacKenzie, Donald (2001). [http://books.google.com/books?id=QiMS8t4V_0cC ''Mechanizing Proof: Computing, Risk, and Trust'']. The MIT Press

* MacKenzie, Donald and Garrell Pottinger (1997). [http://www.computer.org/csdl/mags/an/1997/03/man1997030041.html "Mathematics, Technology, and Trust: Formal Verification, Computer Security, and the U.S. Military"], ''IEEE Annals of the History of Computing'' 19(3)

* McClure, Stuart McClure (2009) '' Hacking Exposed: Network Security Secrets and Solutions'', McGraw-Hill

* Russell, Deborah and G. T. Gangemi, Sr. (1991). [http://books.google.com/books?id=BtB1aBmLuLEC ''Computer Security Basics'']. [[O'Reilly Media]]

* Yost, Jeffrey R. (2007)."A History of Computer Security Standards," in ''The History of Information Security: A Comprehensive Handbook'', [[Elsevier]]

* Stephen Northcutt, Jerry Shenk, Dave Shackleford, Tim Rosenberg, Raul Siles, and Steve Mancini, giugno 2006, [https://www.sans.org/reading-room/whitepapers/analyst/penetration-testing-assessing-security-attackers-34635 Penetration Testing: Assessing Your Overall Security Before Attackers Do], SANS

== Voci correlate ==

Line 126 ⟶ 136:

* Offensive Security (offensive-security.com)- [[Offensive Security Certified Professional]] ([[Offensive Security Certified Professional|OSCP]])

La IACRB (Information Assurance Certification Review Board) fornisce una certificazione per penetration tester nota come Certified Penetration Tester (CPT). Il CPT richiede che il candidato superi un esame a scelta multipla tradizionale e un esame pratico che richiede al candidato di eseguire un pen test su di un server.<ref>{{Cita web|http://www.name="iacertification.org"/cpt_certified_penetration_tester.html|Certified Penetration Tester (CPT)|10 dicembre 2016|editore=IACRB|lingua=en}}</ref>

== Bibliografia ==

* Hunt, Edward (2012). [http://www.computer.org/csdl/mags/an/2012/03/man2012030004.html "US Government Computer Penetration Programs and the Implications for Cyberwar"], ''IEEE Annals of the History of Computing'' 34(3)

* [[Johnny Long|Long, Johnny]] (2007). ''Google Hacking for Penetration Testers'', [[Elsevier]]

* MacKenzie, Donald (2001). [http://books.google.com/books?id=QiMS8t4V_0cC ''Mechanizing Proof: Computing, Risk, and Trust'']. The MIT Press

* MacKenzie, Donald and Garrell Pottinger (1997). [http://www.computer.org/csdl/mags/an/1997/03/man1997030041.html "Mathematics, Technology, and Trust: Formal Verification, Computer Security, and the U.S. Military"], ''IEEE Annals of the History of Computing'' 19(3)

* McClure, Stuart McClure (2009) '' Hacking Exposed: Network Security Secrets and Solutions'', McGraw-Hill

* Russell, Deborah and G. T. Gangemi, Sr. (1991). [http://books.google.com/books?id=BtB1aBmLuLEC ''Computer Security Basics'']. [[O'Reilly Media]]

* Yost, Jeffrey R. (2007)."A History of Computer Security Standards," in ''The History of Information Security: A Comprehensive Handbook'', [[Elsevier]]

* Stephen Northcutt, Jerry Shenk, Dave Shackleford, Tim Rosenberg, Raul Siles, and Steve Mancini, giugno 2006, [https://www.sans.org/reading-room/whitepapers/analyst/penetration-testing-assessing-security-attackers-34635 Penetration Testing: Assessing Your Overall Security Before Attackers Do], SANS

{{Controllo di autorità}}