Il penetration test e’ una simulazione di attacco informatico richiesto da un ente o azienda per valutare la sicurezza dei propri sistemi informatici. La successiva analisi degli attacchi servira’ per pianificare le relative contromisure per mitigare le eventuali falle di sicurezza rilevate durante il test. Chi si avvicina al penetration testing deve mettere in conto l’enorme quantita’ di documentazione da studiare, tale conoscenza deve spaziare dai piu’ disparati sistemi operativi, dispositivi, protocoli di trasmissione, fino agli strumenti di attacco e difesa. Dopo una solida preparazione teorica, la pratica e’ la parte piu’ ostica del processo di apprendimento.
Il principale ostacolo che si incontra, e’ proprio quello di avere un sistema da attaccare senza andare incontro a problemi legali, fare del bruteforcing delle password oppure lanciare exploit a destra e sinistra, celandosi dietro la scusa dello studio, non ci mette a riparo da sgradevoli e serie ripercussioni.
Personalmente ritengo il miglior modo per testare in tutta sicurezza le techiche di attacco, sia la costruzione di un laboratorio di Penetration Testing. Oggi con i sistemi di virtualizzazione, non abbiamo bisogno di molto hardware e risorse particolari, un vecchio computer con linux installato e un software di virtualizzazione possono espletare egregiamente il proprio lavoro.
Adesso che abbiamo messo in piedi il nostro piccolo laboratorio dobbiamo decidere su quali sistemi vogliamo fare pratica, possiamo scaricare la nostra distribuzione linux favorita, configurare ed installare dei servizi o applicativi non sicuri e iniziare gli attacchi.
Di seguito vi mostro il modello della mia metodologia nell'effettuare un penetration test.
