Due esami diversi, spesso confusi
Vulnerability assessment e penetration test vengono spesso citati insieme, quasi fossero la stessa cosa venduta con due nomi. Non lo sono, e la differenza conta quando si decide cosa serve davvero.
Il vulnerability assessment è una scansione ampia: strumenti automatici analizzano sistemi, applicazioni e configurazioni e restituiscono un elenco di vulnerabilità note, con la relativa gravità. È largo ma poco profondo: dice cosa potrebbe essere sfruttato, non se lo è davvero.
Il penetration test è una simulazione di attacco: una persona, o un team, prova attivamente a violare i sistemi usando le vulnerabilità trovate, incatenandole tra loro, cercando percorsi che uno scanner automatico non vede. È più stretto ma più profondo: verifica cosa succede davvero se qualcuno ci prova.
A confronto
| Vulnerability assessment | Penetration test | |
|---|---|---|
| Obiettivo | Elencare le vulnerabilità note | Verificare se e come sono sfruttabili |
| Metodo | Scansione automatizzata | Attacco simulato, guidato da una persona |
| Copertura | Ampia: tutti i sistemi nel perimetro | Mirata: gli obiettivi concordati |
| Falsi positivi | Frequenti | Rari: ogni falla è verificata attivamente |
| Frequenza tipica | Periodica, anche mensile | Una o due volte l'anno, o dopo cambiamenti importanti |
| Costo | Più contenuto | Più alto: richiede il tempo di una persona esperta |
Quando serve l'uno, quando l'altro
Non è una scelta alternativa: sono due strumenti complementari, utili in momenti diversi.
- Il vulnerability assessment è la base ricorrente: va bene per un controllo periodico, per tenere sotto controllo un perimetro che cambia (nuovi server, nuove applicazioni, aggiornamenti), per avere un quadro rapido dopo un cambiamento.
- Il penetration test serve quando serve sapere se un rischio è reale: prima del lancio di un'applicazione esposta su internet, dopo una ristrutturazione importante della rete, quando un cliente o un'assicurazione lo richiedono, o quando il vulnerability assessment ha segnalato troppe cose per capire da sola cosa conta davvero.
Una combinazione tipica per una PMI esposta: vulnerability assessment periodico, con un penetration test annuale mirato ai sistemi più critici o più esposti.
Come si legge un report
Un buon report non è un elenco di sigle. Gli elementi da cercare:
- Gravità, di solito espressa con il punteggio standard CVSS, da 0 a 10, con fasce indicative da basso a critico. Serve a dare priorità, non a spaventare: una vulnerabilità critica su un sistema isolato può contare meno di una media su un sistema esposto e centrale.
- Come è stata verificata: per il penetration test, i passaggi concreti seguiti per sfruttarla, non solo l'affermazione che esiste.
- Impatto reale per la tua azienda, non solo la descrizione tecnica generica della falla.
- Un piano di correzione, con priorità: cosa sistemare subito, cosa può aspettare, cosa è un rischio accettabile per ora.
Un report senza priorità, con cento voci tutte "importanti", non aiuta a decidere: aiuta solo a giustificare la fattura.
Cosa chiedere a chi lo esegue
- L'ambito concordato per iscritto: quali sistemi, quali indirizzi, quali orari, cosa è escluso. Testare fuori perimetro senza accordo è un problema, non un bonus.
- Il metodo: quali standard segue, per esempio OWASP per le applicazioni web, cosa viene testato manualmente e cosa con strumenti automatici.
- Cosa succede se trovano una falla critica durante il test: va segnalata subito, non solo nel report finale a distanza di settimane.
- Un report comprensibile, con priorità, non solo l'output grezzo di uno scanner con il logo cambiato.
- La disponibilità a un confronto dopo la consegna, per capire davvero cosa fare, non solo leggere un documento.
Checklist rapida
- so quando è stato fatto l'ultimo vulnerability assessment sui miei sistemi;
- so se e quando è stato fatto un penetration test, e su quali sistemi;
- ho un report con priorità di intervento, non solo un elenco di vulnerabilità;
- le vulnerabilità critiche segnalate sono state corrette, non solo annotate;
- l'ambito dell'ultimo test era scritto e concordato, non generico;
- so se un cliente, un'assicurazione o un obbligo normativo mi richiedono queste verifiche.
In sintesi
Il vulnerability assessment elenca le vulnerabilità note su un perimetro ampio; il penetration test verifica se sono davvero sfruttabili, su obiettivi mirati. Servono entrambi, in momenti diversi, e valgono solo se il report finisce in un piano di correzione con priorità.