Penetration Test.  L’arte di pensare come un attaccante!

Una conversazione con Romeo Mungiu, Cybersecurity Technical Lead di CyberSA

Romeo, cosa significa per te fare un Penetration Test?
Fare un Penetration Test è come giocare una partita a scacchi, solo che l’avversario è invisibile e le regole cambiano continuamente!
In CyberSA, quando eseguiamo un test, non ci limitiamo a usare tool standard o seguire checklist. Pensiamo come attaccanti, ci mettiamo nei panni di chi potrebbe voler sfruttare una vulnerabilità. Ogni test è un’occasione per mettere alla prova non solo l’infrastruttura, ma anche noi stessi.

Che esperienze ti hanno segnato di più nel tuo lavoro?
Beh, negli anni ne ho viste di tutti i colori.
Dall’industria del gaming, con server enormi e un livello di sicurezza rigoroso, fino alle infrastrutture critiche dove, per esempio, un aggiornamento può richiedere settimane di pianificazione. Ho lavorato in ambienti sanitari dove ogni dispositivo Bluetooth può rappresentare un rischio, e in piccole aziende dove la passione dei team di sviluppo è talmente forte che trovi soluzioni originali ad ogni angolo.
Ma quello che mi rimane impresso ogni volta è l’importanza del nostro lavoro!
Abbiamo rubato credenziali, compromesso domain controller, esfiltrato dati, e ogni volta mi chiedo: “Cosa succederebbe se questo attacco fosse reale?”
È una responsabilità enorme, ma anche una sfida affascinante.

Il Penetration Test è solo trovare vulnerabilità?
Assolutamente no!
Trovare vulnerabilità è solo il punto di partenza. La parte davvero cruciale è capire quali vulnerabilità possono avere un impatto significativo e, soprattutto, spiegare chiaramente al cliente come risolverle. Ogni infrastruttura è diversa, e ogni vulnerabilità può comportare rischi unici. Il nostro lavoro non finisce quando troviamo un problema; è lì che inizia la parte più importante: aiutare il cliente a risolvere quel problema.

Come vedi il futuro del Penetration Test?
È un mondo in costante evoluzione.
Con regolamenti come NIS2 e DORA, vedremo sempre più settori costretti a implementare test che prima non consideravano. E poi ci sono le nuove tecnologie: con l’arrivo degli LLM, ci aspettiamo di affrontare sfide completamente nuove, come la prompt injection. Il panorama delle minacce non è statico, ed è per questo che noi come penetration tester dobbiamo sempre rimanere al passo con gli attaccanti!

Puoi darci un ultimo consiglio?
Il Penetration Test non è mai “una volta e via”.
Le minacce cambiano, così come cambiano le infrastrutture.
Il mio consiglio è semplice: non sottovalutate mai l’importanza di testare regolarmente.
Solo così possiamo davvero prevenire gli attacchi e proteggere ciò che conta di più!