Mettere alla prova le difese, senza improvvisare
Efesto è il servizio con cui BoNet tenta, in modo controllato e autorizzato, di sfruttare le debolezze di una rete per dimostrare quale danno sarebbe davvero possibile: che cosa potrebbe raggiungere un malintenzionato partendo da Internet, dal Wi-Fi o da un dispositivo collegato. Si svolge solo con incarico scritto, perimetro definito e autorizzazioni dei terzi coinvolti.
Sicura al 100%? Solo da spenta.
Noi lavoriamo per la vostra, quella accesa.
Da leggere prima di richiederlo
A differenza dell'analisi di rete, che osserva e misura senza forzare nulla, i test di Efesto possono causare rallentamenti, malfunzionamenti o interruzioni dei sistemi provati, anche con tutte le cautele. Per questo sono un servizio distinto, con incarico, regole di ingaggio e autorizzazioni più rigorosi, e non partono mai senza.
- Nessun test parte senza incarico firmato, appendice tecnica e perimetro scritto.
- L'autorizzazione dell'analisi di rete non copre i test invasivi.
- Nessuna attività su sistemi di terzi senza la loro autorizzazione scritta.
- Non è una certificazione né una garanzia di sicurezza.
Perché Efesto
Efesto è il dio greco del fuoco e della fucina: forgiava le armature degli eroi. Un'armatura si prova prima della battaglia, non durante. Efesto fa lo stesso con le difese di una rete: le mette alla prova, in modo misurato e concordato, per mostrare dove cedono mentre c'è ancora tempo per rinforzarle.
Analisi di rete ed Efesto: due servizi diversi
L'analisi di rete trova i problemi, ma non verifica fino a dove un attaccante potrebbe spingersi. Efesto fa il passo successivo: tenta, con regole precise, di sfruttare le debolezze individuate per mostrarne l'effetto reale. La tabella riassume le differenze.
| Analisi di rete | Efesto | |
|---|---|---|
| Che cosa fa | Osserva, misura e individua i problemi, senza forzare nulla. | Tenta, in modo controllato, di sfruttare le debolezze per dimostrarne l'effetto. |
| Impatto sui sistemi | Non invasivo: nessun test distruttivo. | Può causare rallentamenti, malfunzionamenti o interruzioni dei sistemi provati. |
| Autorizzazione | Incarico scritto con perimetro definito. | Incarico specifico con appendice tecnica firmata: l'autorizzazione dell'analisi non copre i test invasivi. |
| Risultato | Relazione con inventario, schema di rete, rischi per gravità e piano di rimedio. | Relazione con vulnerabilità sfruttate, prove di concetto, gravità, impatto e correzioni consigliate. |
| Che cosa non è | Non è un penetration test né una certificazione di conformità. | Non è una certificazione di conformità né una garanzia di assenza di vulnerabilità. |
Quattro situazioni tipiche
Non è un servizio da richiedere per abitudine: ha senso quando c'è una domanda precisa a cui rispondere con prove concrete.
Dopo un'analisi
Per verificare se i problemi emersi sono davvero sfruttabili e per classificarli con prove concrete.
Prima di un nuovo servizio
Prima di mettere in produzione un servizio, un portale o un accesso remoto, o dopo importanti cambiamenti di rete.
Per dimostrare una verifica
Quando il cliente deve dimostrare a un assicuratore, a un committente o a un'autorità di aver verificato la propria sicurezza.
Dopo le correzioni
Per verificare che gli interventi applicati abbiano davvero risolto i problemi.
Che cosa si può mettere alla prova
Il perimetro esatto, i tipi di test e l'approccio si definiscono per iscritto nell'appendice tecnica dell'incarico, prima di iniziare. I tipi possibili sono questi.
Test dall'esterno
Il perimetro Internet: indirizzo pubblico, servizi raggiungibili, accesso remoto.
Test dall'interno
La rete interna, dalla posizione di un dispositivo collegato, per verificare protocolli deboli, condivisioni e dispositivi.
Separazione tra le reti
Che le zone (utenti, ospiti, telecamere, server) siano davvero separate, provando a passare dall'una all'altra dalla posizione di un ospite o di un dispositivo collegato.
Applicazioni web
Un sito, un portale o un gestionale indicato dal cliente, con prove sui punti di ingresso e sull'autenticazione.
Wi-Fi
Robustezza della cifratura, rete ospiti, accessi non autorizzati.
Ingegneria sociale
Phishing, telefonate, accesso fisico: solo con un accordo ulteriore e regole proprie. Non è compresa nei livelli standard.
Con quante informazioni si parte
La scelta dell'approccio incide su tempo e profondità del test.
| Approccio | Punto di partenza |
|---|---|
| Black box | Nessuna informazione preliminare: si parte come farebbe un estraneo. |
| Grey box | Con un'utenza ordinaria, come farebbe un dipendente o un ospite. |
| White box | Con documentazione e accessi dedicati: è l'approccio più rapido e più in profondità. |
I tre livelli
La differenza tra i livelli è nel perimetro e nella profondità, non nella serietà del metodo: le regole di ingaggio sono le stesse.
| Livello | Perimetro tipico | Che cosa comprende |
|---|---|---|
| Semplice | Perimetro esterno (indirizzo pubblico) e un servizio o un'applicazione web. | Ricognizione, ricerca di vulnerabilità, sfruttamento controllato dei punti emersi, relazione con prove. |
| Standard | Perimetro esterno e rete interna di uno studio o di una piccola azienda. | Tutto il livello Semplice, più test dall'interno, segmentazione e dispositivi, relazione completa e incontro di restituzione. Si usa un apparato di analisi potenziato. |
| Avanzato | Più sedi o reti, applicazioni dedicate, verifica dopo le correzioni. | Tutto il livello Standard, esteso a più sedi e applicazioni, con verifica successiva alle correzioni e incontro con il personale tecnico. |
Otto fasi, ciascuna con il suo limite
Ogni fase ha una cautela precisa. Il lavoro procede dalla meno invasiva alla più mirata e non salta mai la prima.
| Fase | Attività | Limite o cautela |
|---|---|---|
| 1. Accordo | Incarico firmato con appendice tecnica, perimetro, finestre orarie, referenti raggiungibili, conferma del backup e autorizzazioni dei terzi. | Senza questi atti non si lancia nulla. |
| 2. Ricognizione | Raccolta di informazioni sul perimetro: indirizzi, servizi, tecnologie visibili. | Solo ciò che è nel perimetro. |
| 3. Enumerazione e vulnerabilità | Identificazione di servizi e versioni; scansione e analisi delle vulnerabilità note. | Intensità e velocità controllate; niente su apparati sensibili. |
| 4. Sfruttamento controllato | Prova mirata di una vulnerabilità per dimostrarne l'effetto, una alla volta, con registro di ogni azione e orario. | Nessun attacco di negazione del servizio; prova minima sufficiente; arresto immediato su richiesta del referente. |
| 5. Verifica dell'impatto | Dimostrazione di che cosa sarebbe raggiungibile, con una prova di concetto, senza leggere contenuti. | Nessuna lettura o copia di documenti o dati personali oltre la prova minima. |
| 6. Pulizia | Rimozione di ogni file, utenza o configurazione creati durante i test. | Nessun accesso persistente lasciato sui sistemi. |
| 7. Relazione | Vulnerabilità sfruttate, prove, gravità, impatto, correzioni consigliate e limiti del test. | Relazione riservata, consegnata solo al titolare. |
| 8. Verifica successiva | Ripetizione delle prove dopo le correzioni (livello Avanzato o su richiesta). | Concordata separatamente. |
Che cosa può succedere, e che cosa si fa per ridurlo
Dirlo chiaramente fa parte del servizio: un test invasivo non è privo di effetti, e il cliente deve saperlo prima di firmare.
Che cosa può succedere
- Rallentamenti dei sistemi provati.
- Malfunzionamenti o riavvii imprevisti.
- Interruzione temporanea di servizi.
- Scatto di allarmi e blocchi dei sistemi di difesa del cliente.
Che cosa si fa per ridurlo
- Finestre orarie concordate per iscritto.
- Una prova alla volta, a intensità limitata.
- Backup recente e verificato, confermato per iscritto prima dell'inizio.
- Referenti raggiungibili durante ogni sessione, con sospensione immediata a richiesta.
- Sospensione se un sistema rallenta o mostra anomalie.
- Allarme, telecamere e apparati d'impianto esclusi o provati solo con la presenza dell'installatore.
Che cosa non facciamo
Salvo un accordo ulteriore, scritto e specifico, questi comportamenti sono esclusi da qualunque incarico.
Negazione del servizio
Nessun attacco di negazione del servizio né prova di carico.
Password
Nessuna forzatura di password su sistemi in produzione.
Persone e locali
Nessuna ingegneria sociale, phishing o accesso fisico ai locali.
Sistemi di terzi
Nessuna attività su sistemi o reti di terzi non autorizzati.
Contenuti
Nessuna lettura, copia o divulgazione di documenti, messaggi o archivi.
Accessi e dati
Nessun accesso persistente lasciato sui sistemi, nessuna modifica o cancellazione di dati del cliente.
Che cosa si riceve, e che cosa resta fuori
Che cosa si riceve
- Una relazione con sintesi per il titolare e dettaglio tecnico: vulnerabilità sfruttate con prove di concetto, gravità e impatto.
- Correzioni consigliate e piano di rimedio ordinato per priorità.
- Un incontro di restituzione con il titolare e, nel livello Avanzato, con il personale tecnico o il fornitore IT.
- L'attestazione di distruzione dei dati raccolti durante i test.
Che cosa resta fuori
- Non è una certificazione di conformità (ISO 27001, PCI-DSS o simili), né una garanzia di assenza di vulnerabilità: fotografa ciò che è stato provato, nel perimetro e nel periodo.
- Le correzioni sono un servizio a parte, anche se eseguite dal fornitore IT del cliente.
- Non è consulenza legale o sul trattamento dei dati personali.
- Costi di terzi, trasferte e apparato di analisi potenziato sono esposti a parte nel preventivo.
Si usano strumenti standard del settore per ricognizione, scansione delle vulnerabilità, test applicativi e analisi di rete; elenco e versioni sono riportati nella relazione.
Come si presenta un incarico completo
Due documenti di esempio su un caso inventato, con nomi e dati di fantasia: uno studio di fattibilità e una relazione completa di analisi di rete e penetration test, ciascuno in italiano e in inglese. Mostrano metodo, impaginazione e livello di dettaglio di un incarico vero.
Studio di fattibilità
Che cosa chiede il cliente, le tre opzioni di intervento, i rischi del progetto e le condizioni: tutto ciò che si chiarisce prima di iniziare.
Relazione di analisi di rete e penetration test
Kick-off di progetto, le sette analisi di rete, il penetration test con i suoi rilievi, il piano di rimedio, la verifica dopo trenta giorni e le appendici.
Scenario, azienda («Voltaria Distribuzione»), fornitori, cifre e rilievi sono inventati: i documenti sono dimostrativi. © BoNet™ — Tutti i diritti riservati.
Aspetti legali e conferimento dell'incarico
Un test invasivo ha senso solo se tutte le parti sanno che cosa accade, su che cosa e con quali responsabilità. Questo capitolo riassume, in forma semplice, ciò che deve essere definito per iscritto al momento del conferimento dell'incarico, per evitare equivoci e speculazioni, interne ed esterne. Non è consulenza legale: fa fede il testo dell'incarico firmato.
Autorizzazione scritta
Accedere a un sistema informatico senza autorizzazione è reato (art. 615-ter del Codice penale). Per questo nessuna attività parte senza un incarico firmato dal titolare, con un'appendice tecnica che descrive i test autorizzati. L'autorizzazione dell'analisi di rete non si estende ai test invasivi.
Perimetro, tempi e durata
L'autorizzazione vale solo per indirizzi, sedi, apparati, tipi di test, approcci, finestre orarie e durata indicati. Ciò che non è scritto è escluso; ogni estensione richiede un nuovo accordo scritto.
Terze parti
Per apparati o servizi gestiti da altri (provider Internet, hosting, cloud, installatori di allarme o telecamere) serve la loro autorizzazione, che il cliente procura prima di iniziare. I contratti di alcuni fornitori vietano o limitano i test: senza il loro assenso quei sistemi restano fuori.
Rischi e responsabilità
Il cliente è informato per iscritto che i test possono causare rallentamenti, malfunzionamenti o interruzioni, e conferma di avere un backup verificato. La ripartizione delle responsabilità e i relativi limiti sono regolati nell'incarico.
Dati personali
Efesto non cerca né conserva contenuti. Dove emergano dati personali, BoNet opera come responsabile del trattamento con apposita nomina (art. 28 del GDPR), si limita alla prova minima e distrugge le evidenze raccolte entro i termini dell'incarico, con attestazione su richiesta.
Compromissioni già in corso
Se emerge un incidente già in atto (accessi non autorizzati, malware, dati esposti), le attività si sospendono e il referente è informato subito. Le notifiche di legge, per esempio al Garante per la protezione dei dati personali, spettano al titolare.
Riservatezza
Le informazioni su configurazioni, vulnerabilità e credenziali restano riservate. La relazione è consegnata solo al titolare; le credenziali non compaiono nei documenti.
Chi può fermare tutto
Un referente indicato dal cliente può chiedere in ogni momento la sospensione immediata dei test. Ogni sessione inizia e finisce con una comunicazione al referente.
Qualsiasi dubbio su questi punti va chiarito prima della firma, non dopo.
Vuoi capire se ti serve?
Il punto di partenza è quasi sempre un'analisi di rete: se i test invasivi servono, lo si vede da lì. Ogni richiesta viene valutata caso per caso.
Richiedi informazioni Vai all'analisi di rete