Ethical Hacking / Penetration test

Di cosa si tratta
Per Ethical Hacking si intendono le azioni compiute da una organizzazione, o da una persona, di comprovata fiducia del committente, a cui quest’ultimo affida la propria infrastruttura informatica ai fini valutarne il grado di penetrabilità e vulnerabilità, ciò avviene con il Penetration Test. Queste azioni sono del tutto simili a quelle che effettuerebbe un hacker malevolo e i risultati del test sono tanto piú attendibili, quanto maggiore è la conoscenza del problema da parte dell’Ethical Hacker.

Le competenze Datamatic Sistemi & Servizi
Datamatic Sistemi & Servizi, sin dal momento della sua fondazione, nel 1984, ha concentrato la sua attività verso soluzioni informatiche in cui l’aspetto sicurezza è sempre stato predominante. Le soluzioni di storage, backup, archiving del catalogo Datamatic DSS, già selezionate secondo questo criterio, sono state affiancate nel tempo da soluzioni specifiche di security informatica, determinando l’accumulo di un know how informatico di grande significato e un patrimonio di conoscenze difficilmente reperibile sul mercato. Questo è il background su cui si basa l’offerta dei servizi di Ethical Hacking; ad esso si aggiungono le competenze acquisite con l’entrata nel settore Forensics , le cui soluzioni hanno molti aspetti in comune con il problema dell’Ethical Hacking.

Modalità del Penetration Test Datamatic DSS
Un Network Penetration Test ha come obiettivo la valutazione della sicurezza di una rete: può essere svolto dall'interno (Internal PT), dall'esterno (External PT) e con varie modalità di accesso alle infrastrutture e alle risorse del committente (Black Box, Gray box, White Box). Di conseguenza, è possibile simulare scenari di attacco differenti.

External PT di tipo Black Box: ha l’obiettivo di identificare quale danno può essere causato da un attaccante casuale esterno all'organizzazione (ad esempio un concorrente senza accesso ad informazioni e credenziali di accesso all’azienda).
External PT White Box
Simula la compromissione di una componente esposta all'esterno per capire che livello di accesso un attaccante possa ottenere alle altre parti dell'infrastruttura aziendale.
Internal PT Black Box
Simula un attaccante che abbia accesso fisico (ad esempio un consulente esterno o un visitatore in una sala riunioni) o remoto (ad esempio un computer di una segretaria compromesso) alla rete aziendale
Internal PT White Box
Simula un attaccante interno all'organizzazione con informazioni ed accesso ad alcune parti dell'infrastruttura per capire che livello di accesso alle componenti critiche sia possibile ottenere.
Internal PT Gray Box
simula un dipendente malintenzionato.

Metodologia Datamatic DSS del Penetration Test
Il servizio di Network Penetration Test viene effettuato da professionisti appositamente qualificati e secondo metodologie riconosciute internazionalmente . Gli interventi sulla struttura target sono svolti da tecnici informatici senior di comprovate competenze, allo scopo di garantire che non si verifichino danneggiamenti né all'infrastruttura né ai dati.
Da un punto di vista metodologico, per verificare il livello di sicurezza informatica aziendale si procede attraverso quattro macro step:
Internal Vulnerability Assesment
Si tratta di eseguire delle “scansioni”non distruttive sui sistemi, con degli strumenti che sono stati progettati per rilevare lo stato dei sistemi operativi o delle applicazioni standard dall’interno della rete aziendale. Normalmente, il Target dell’ Internal Vulnerability Assessment comprende i seguenti dispositivi all’interno della LAN:Network Device, Security Device, Application Server, Storage Server.
External Vulnerability Assesment:
Questa fase, sebbene possa essere condotta in maniera indipendente ed isolata rispetto al Vulnerability Assessment interno, e’ preferibile eseguirla successivamente alla prima al fine di poter confrontare i risultati globalmente ottenuti ed essere piu’ mirati nelle osservazioni di sicurezza
Internal Penetration Test:
è un PT eseguito dall’interno della rete aziendale nei confronti dei sistemi interni e di perimetro e tenta di sfruttare le vulnerabilità emerse dalle analisi precedenti per violare i sistemi informatici oggetto del target
External Penetration Test:
simile al punto precedente con la fonte di attacco localizzata all’esterno del perimetro aziendale.