Gli sviluppatori di software non sono tutti “buoni”, ci sono quelli che sviluppano appositamente virus e malware a danno di società e istituzioni. Come difendersi? Con l’aiuto di una tiger team, una squadra di programmatori specializzati nel mettere a punto strategie di difesa e analisti in penetration test; questi ultimi si chiamano anche penetration tester o ethical hacker dal momento che il loro scopo è simulare un attacco al sistema utilizzando le stesse logiche degli hacker. Per mettere a punto una squadra di tester è bene rivolgersi a una società di sviluppo software. Tra le aziende di sviluppo software a Roma che si occupano anche di protezione, analisi delle vulnerabilità e cyber security si può citare Area Software.
Cosa fanno gli ethical hacker?
In base alla quantità e alla qualità delle informazioni disponibili, gli analisti mettono a punto processi di penetration test, di infiltrazione e attacco del sistema:
- I test black box non necessitano della conoscenza dell’infrastruttura da “attaccare” e i tester determinano l’architettura e i servizi dei sistemi prima di avviare l’analisi delle vulnerabilità;
- I test white box richiedono conoscenze dettagliate del sistema in esame, dagli schemi di rete ai codici sorgente delle varie applicazioni di un software e gli indirizzi IP di rete.
Tutte le varianti tra le due tipologie estreme sono definite grey box. I risultati delle analisi dei penetration test servono alla valutazione dell’impatto di un attacco e alla ricerca di soluzioni e contromisure per ridurre o contrastare i rischi.
L’ethical hacker procede all’analisi per fasi sia manuali che automatiche. La prima fase consiste nell’acquisizione delle informazioni principali sull’architettura della piattaforma e sui servizi. La seconda fase è la scelta di quale tipo di attacco simulare in base all’elenco degli errori, delle vulnerabilità e dei problemi riscontrati. I problemi riscontrati sono enumerati e verificati. L’ultima fase si conclude con il report di analisi sommaria contenente il rischio riscontrato e le ipotetiche tempistiche per avviare una azione di difesa e contrasto. Il penetration test si effettua su sistemi esposti su internet, la piattaforma da dove arrivano le maggiori minacce alla sicurezza dei software.
Quali sono gli standard e le certificazioni professionali
Per diventare penetration tester o ethical hacker è possibile acquisire delle certificazioni professionali che garantiscono il possesso delle abilità tecniche e dell’affidabilità dei programmatori nel fornire ed elaborare metodi e test di diesa replicabili, valutabili e misurabili nel tempo. le principali certificazioni sono:
- eCPPT (e-Learning Security Certified Professional Penetration Tester) patrocinato in Italia dall’AIPSI, l’Associazione Italiana Professionisti della Sicurezza Informatica;
- ISECOM o OSSTMM Professional Security Tester;
- CEH (Certified Ethical Hacker) rilasciato dall’International Council of e-commerce Consultants;
- OSCP (Offensive Security Certified Professional).
- CPT (Certified Penetration Tester).
Il CPT è una certificazione rilasciata dalla IACRB (Information Assurance Certification Review Board). Per ottenere il CPT, il candidato deve superare un esame che consiste in un tradizionale test a scelta multipla e un esame pratico di esecuzione di un penetration test su server.