--- title: Cos'è un Penetration test e perché è indispensabile description: Il penetration test è uno strumento chiave per l'analisi e la misura del livello di sicurezza dei sistemi IT. Ecco perché è indispensabile per le aziende image: https://blog.cyberoo.com/hubfs/Penetration%20Test.jpg --- - Solutions Threat Management - [Cos’è la Cyber Security Suite?](https://cyberoo.com/cyber-security-suite/) - [Cypeer – Sicurezza interna](https://cyberoo.com/managed-detection-and-response/) - [CSI – Protezione dalle minacce esterne](https://cyberoo.com/cyber-threat-intelligence/) Governance & Processes - [Incident response](https://cyberoo.com/incident-response/) - [Risk Assessment](https://cyberoo.com/risk-assessment/) - [Vulnerability Assessment & Penetration Test](https://cyberoo.com/vulnerability-assessment-penetration-test/) - [Cyber Security Advisory & vCISO](https://cyberoo.com/cyber-security-advisory-vciso/) Compliance - [Titaan Neemesi – GDPR compliance](https://cyberoo.com/titaan-neemesi-gdpr-compliance/) People Security - [KEATRIX – Human Risk & Security TrAIning Platform per Aziende](https://cyberoo.com/keatrix-security-awareness-platform-business-ita/) - Corporate Cyberoo - [Azienda](https://cyberoo.com/cyberoo-azienda-italiana-cybersecurity/) - [Certificazioni](https://cyberoo.com/certificazioni/) - [People](https://cyberoo.com/people-team-cyberoo/) - [Above The Rest](https://cyberoo.com/above-the-rest/) - [Jobs](https://cyberoo.com/jobs/) Investors - [Investors relations](https://cyberoo.com/investors-relations/) - [Sostenibilità](https://cyberoo.com/sostenibilita/) - Resources - [Cyber Resources](https://cyberoo.com/cyber-resources/) - [Cyber Blog](https://blog.cyberoo.com/) - [Tech Blog](https://cert.cyberoo.com/) - [Press News](https://cyberoo.com/news-press/) - [Media Kit](https://cyberoo.com/media-kit/) [![Cyberoo](https://blog.cyberoo.com/hubfs/raw_assets/public/Cyberoo_May2023/images/CYBEROO-logo.svg)](https://cyberoo.com/) - [Contatti](https://cyberoo.com/contacts/) - Italiano - [English](https://blog.cyberoo.com/en) - [Français](https://cyberoo.com/fr/) - [Deutsch](https://cyberoo.com/de/) - [Polski](https://blog.cyberoo.com/pl) - [Español](https://cyberoo.com/es/) - Solutions - Threat Management - [Cos’è la Cyber Security Suite?](https://cyberoo.com/cyber-security-suite/) - [Cypeer – Sicurezza interna](https://cyberoo.com/managed-detection-and-response/) - [CSI – Protezione dalle minacce esterne](https://cyberoo.com/cyber-threat-intelligence/) - Governance & Processes - [Incident response](https://cyberoo.com/incident-response/) - [Risk Assessment](https://cyberoo.com/risk-assessment/) - [Vulnerability Assessment & Penetration Test](https://cyberoo.com/vulnerability-assessment-penetration-test/) - [Cyber Security Advisory & vCISO](https://cyberoo.com/cyber-security-advisory-vciso/) - Compliance - [Titaan Neemesi – GDPR compliance](https://cyberoo.com/titaan-neemesi-gdpr-compliance/) - People Security - [KEATRIX – Human Risk & Security TrAIning Platform per Aziende](https://cyberoo.com/keatrix-security-awareness-platform-business-ita/) - Corporate - Cyberoo - [Azienda](https://cyberoo.com/cyberoo-azienda-italiana-cybersecurity/) - [Certificazioni](https://cyberoo.com/certificazioni/) - [People](https://cyberoo.com/people-team-cyberoo/) - [Above The Rest](https://cyberoo.com/above-the-rest/) - [Jobs](https://cyberoo.com/jobs/) - Investors - [Investors relations](https://cyberoo.com/investors-relations/) - [Sostenibilità](https://cyberoo.com/sostenibilita/) - Resources - [Cyber Resources](https://cyberoo.com/cyber-resources/) - [Cyber Blog](https://blog.cyberoo.com/) - [Tech Blog](https://cert.cyberoo.com/) - [Press News](https://cyberoo.com/news-press/) - [Media Kit](https://cyberoo.com/media-kit/) - [Contatti](https://cyberoo.com/contacts/) - Italiano - [English](https://blog.cyberoo.com/en) - [Français](https://cyberoo.com/fr/) - [Deutsch](https://cyberoo.com/de/) - [Polski](https://blog.cyberoo.com/pl) - [Español](https://cyberoo.com/es/) - - - - - ![](https://blog.cyberoo.com/hubfs/Penetration%20Test.jpg) # Penetration test: in cosa consiste e perché è indispensabile Published by [cyberoo-admin](https://blog.cyberoo.com/author/cyberoo-admin) on 24 marzo 2020 Il **penetration test** è uno strumento chiave per l'analisi e la misura del **livello di sicurezza** **dei sistemi IT** esattamente come un termometro. Ma mentre nel mondo della medicina lo strumento di misura della febbre ci aggiorna sullo stato dell’infezione, ormai già in corso, i penetration test possono costituire una **misura preventiva di analisi**, per evitare l’ingresso di una “infezione informatica”. L’obiettivo dei penetration test, infatti, dovrebbe essere sempre quello di **migliorare i processi interni di valutazione e gestione della vulnerabilità** della propria organizzazione, secondo i risultati ottenuti nei test. Una corretta adozione e un corretto uso dei penetration test consentono di trarre il massimo beneficio da questa prassi. In sostanza, anche se sembrano costosi, in realtà i penetration test rappresentano un investimento che supporta, aiuta e consente di pianificare le routinarie misure di sicurezza dell’operatività standard, oppure di intervenire con misure straordinarie. ## **Definizione formale di penetration test** Secondo il **National Cyber Security Center** inglese (**NCSC**, Autorità indipendente sulla [Cyber Security](https://blog.cyberoo.com/la-strategia-di-cyber-security-che-ogni-ceo-dovrebbe-adottare), n.d.r.) il penetration test può essere definito come “un metodo per assicurare la protezione di un sistema IT, mediante tentativi di violazione attuati su tutto o su parte di quel sistema, utilizzando gli stessi strumenti e le stesse tecniche di un avversario”. I penetration test sono in grado di rivelare le modalità di sfruttamento delle vulnerabilità e infatti sono solitamente svolti in coppia con il **Vulnerability Assessment** (sigla **VA/PT**). La coppia di verifiche enfatizza come la ricerca e scoperta di vulnerabilità nei sistemi informatici abbia l’esigenza di essere riscontrata con molteplici sessioni di penetration test, che fanno distinguere le vulnerabilità di tipo “falso positivo” con quelle realmente sfruttabili dai criminali informatici. Nel complesso, possiamo dire che i penetration test identificano il livello di rischio tecnico derivante dalle vulnerabilità di software e hardware. ## **Tipi di penetration test** Non esiste una sola tecnica di svolgimento dei penetration test. Infatti, all’interno dello stesso regime di test, si possono **scegliere tecniche diverse** secondo i **target individuati** su cui testare la sicurezza e secondo il **livello di conoscenza del sistema** da fornire in anticipo ai tester e agli amministratori di sistema. Tutte queste variabili contribuiscono a diversificare i tipi di penetration test, ma anche le modalità di svolgimento. Pertanto, la qualità è strettamente legata alle capacità dei tester coinvolti. Tutti i tipi di penetration test si distinguono in due macrogruppi. #### **Penetration test whitebox** Caratterizzati da informazioni complete sull'obiettivo condivise dall’azienda con i tester. Questo tipo di test conferma l'efficacia della valutazione della vulnerabilità interna e dei controlli di gestione, identificando l'esistenza di vulnerabilità note del software e errori di configurazione comuni nei sistemi di un'organizzazione. #### **Penetration test blackbox** Nessuna informazione relativa al sistema target è condivisa con i tester. Questo tipo di test viene eseguito da una prospettiva esterna e mira a identificare i modi per accedere alle risorse IT interne di un'organizzazione. Questo modella in modo più preciso il rischio affrontato dagli aggressori che sono sconosciuti o non affiliati all'organizzazione target. Tuttavia, la mancanza di informazioni può causare la mancata scoperta di come sfruttare le vulnerabilità scoperte, avendo un tempo limitato per i test.  Tipi di test che si possono svolgere in white o blackbox sono: identificazione della vulnerabilità in software personalizzati o di nicchia (tipicamente usati per le Web app n.d.r.), test basati su scenari e device volti a identificare le vulnerabilità meglio sfruttabili, e test basati su scenari di capacità di rilevamento e risposta. Qualunque sia la metodologia di test e il modo di effettuarli, è necessario **definire lo scenario, il perimetro di applicazione** e, se l’organizzazione reagisce mediante individuazione dei test di attacco simulato, che tipo di risposta riesca a mettere in atto, in che tempi e con quale efficacia. L'NCSC raccomanda di utilizzare tester e aziende che fanno parte dello [schema CHECK](https://www.ncsc.gov.uk/information/check-penetration-testing).   ## **Le Fasi di un processo di Vulnerability Assessment / Penetration Test** Per effettuare i test di Vulnerability Assessment/ Penetration Test (VA/PT) si segue un processo strutturato formato da: 1. Definizione degli obiettivi dell'analisi; 2. Definizione dell’Ambito in cui effettuare i test (Perimetro di applicabilità); 3. Raccolta di informazioni sull'ambiente IT per individuare numero e tipo di reti dell’ambiente, indirizzi IP, versione/i del sistema operativo; 4. Rilevamento delle vulnerabilità mediante utilizzo di tool che eseguono scansioni dell'ambiente IT. Questa sezione è a sua volta divisa in 5 sottoprocessi: 1. Setup 2. Esecuzione dei test (VA) 3. Analisi e Classificazione delle vulnerabilità: sono assegnati i tag “Alta”, “Media”, “Bassa” a ogni vulnerabilità in base alla sua pericolosità e dalla presenza di exploit di sfruttamento. Gli stessi exploit sono identificati per ogni risorsa IT per cui è presente una vulnerabilità. Infine, si determina una strategia per le criticità prioritarie. 4. Reporting 5. Remediation 5. Analisi e pianificazione delle informazioni, ovvero identificazione delle modalità di sfruttamento delle vulnerabilità per la violazione di rete e sistemi (PT).   ## **Penetration Test Report** Al termine dei test è molto importante documentare in modo appropriato quanto scoperto. I Penetration Test report assumono quindi un ruolo cruciale perché devono essere letti da stakeholder diversi al fine comprendere il rischio e consentire la presa di decisioni. I Penetration Test Report sono tipicamente strutturati in due macrosezioni: 1. Riepilogo di alto livello dei risultati: si presenta come una panoramica concisa dei risultati pensata per i dirigenti dell'azienda, che sono alla ricerca di risposte attuabili senza l’esigenza di addentrarsi nella totalità di informazioni del report. Il riassunto spiega in un linguaggio semplice come siano stati aggirati e quanto scoperto all'interno dei sistemi. Espone infine i miglioramenti della sicurezza: consigli di protezione in ordine di priorità e gli interventi di miglioramento a breve, medio e lungo termine. 2. Descrizione dettagliata del contesto dell'attacco, dei test e delle tecniche e tattiche usate dagli attaccanti e le lacune di sicurezza. [![White Paper-Attacchi Informatici: IA e Big Data per una sicurezza a 360 gradi](https://no-cache.hubspot.com/cta/default/6892231/c234a2bb-3f5e-4bb1-a6e3-4d187132ada8.png)](https://cta-redirect.hubspot.com/cta/redirect/6892231/c234a2bb-3f5e-4bb1-a6e3-4d187132ada8) [Back to Blog](https://blog.cyberoo.com) - [Tweet](https://twitter.com/share) ## Related Articles ## [MDR oltre l'EDR per affrontare malware zero-day](https://blog.cyberoo.com/mdr-oltre-ledr-per-affrontare-malware-zero-day) Quello di garantire la sicurezza delle reti aziendali è un compito delicato, che la crescente... [Read More](https://blog.cyberoo.com/mdr-oltre-ledr-per-affrontare-malware-zero-day) ## [Cyber security olistica, cos'è e perché rende la tua azienda sicura](https://blog.cyberoo.com/cyber-security-olistica-cose-e-perche-rende-la-tua-azienda-sicura) Sempre più importante e sempre più complessa: la gestione della sicurezza informatica aziendale è... [Read More](https://blog.cyberoo.com/cyber-security-olistica-cose-e-perche-rende-la-tua-azienda-sicura) ## [Piccolo budget per la Sicurezza? Sei un target facile](https://blog.cyberoo.com/piccolo-budget-sicurezza-pmi-target-facile) Ogni tipo di azienda è un target per il cyber crime, dalle PMI alle grandi aziende. Le grandi... [Read More](https://blog.cyberoo.com/piccolo-budget-sicurezza-pmi-target-facile) [![Cyberoo](https://blog.cyberoo.com/hubfs/raw_assets/public/Cyberoo_May2023/images/CYBEROO-logo.svg "Cyberoo")](https://blog.cyberoo.com/) **TRUSTED BY USERS** [![Capterra](https://blog.cyberoo.com/hubfs/raw_assets/public/Cyberoo_May2023/images/a0e3aa33abf348490d739e99e692012d.svg "Capterra")](https://www.capterra.com/reviews/206253/Cyber-Security-Suite?utm_source=vendor&utm_medium=badge&utm_campaign=capterra_reviews_badge) ![Gartner Peer](https://blog.cyberoo.com/hubfs/raw_assets/public/Cyberoo_May2023/images/GartnerPeerInsightsLogo-white.svg "Gartner Peer") - SERVICES - [CYPEER](https://cyberoo.com/en/managed-detection-and-response/) - [CSI](https://cyberoo.com/en/threat-intelligence/) - [INCIDENT RESPONSE](https://cyberoo.com/en/incident-response/) - [TITAAN NEEMESI](https://cyberoo.com/en/titaan-neemesi/) - [KEATRIX](https://cyberoo.com/en/keatrix-security-awareness-training/) - LINK UTILI - [WE ARE CYBEROO](https://cyberoo.com/azienda/) - [INVESTORS RELATIONS](https://cyberoo.com/investors-relations/) - [CYBER RESOURCES](https://cyberoo.com/cyber-resources/) - [BLOG](https://blog.cyberoo.com/) - [NEWS](https://cyberoo.com/news-press/) - [CONTACTS](https://cyberoo.com/contacts/) © 2026 CYBEROO. Sede Legale: via Brigata Reggio, 37 – 42124 Reggio Emilia (RE) – PEC amministrazione@pec.cyberoo.com Capitale sociale € 1.035.432,35 i.v. Cod. fiscale e P.IVA 04318950286 – R.E.A. RE 288453 [Privacy Policy](https://cyberoo.com/privacy-policy/) - [Registro Nazionale degli Aiuti di Stato](https://www.rna.gov.it/RegistroNazionaleTrasparenza/faces/pages/TrasparenzaAiuto.jspx) - ISO27001 - - - ```json { "@context" : "https://schema.org", "@type" : "BlogPosting", "author" : { "@type" : "Person", "name" : "cyberoo-admin", "url" : "https://blog.cyberoo.com/author/cyberoo-admin" }, "dateModified" : "2021-11-02T16:50:06.554Z", "datePublished" : "2020-03-24T11:30:00.000Z", "headline" : "Cos'è un Penetration test e perché è indispensabile", "image" : [ "https://blog.cyberoo.com/hubfs/Penetration%20Test.jpg" ], "mainEntityOfPage" : { "@id" : "https://blog.cyberoo.com/penetration-test-in-cosa-consiste-e-perche-e-indispensabile", "@type" : "WebPage" }, "publisher" : { "@type" : "Organization", "logo" : { "@type" : "ImageObject", "url" : "/hs/hsstatic/content_shared_assets/static-1.4092/img/vast.png" }, "name" : "Cyberoo" } } ``` ```json { "@context" : "https://schema.org", "@type" : "Article", "articleBody" : "Il penetration test è uno strumento chiave per l'analisi e la misura del livello di sicurezza dei sistemi IT esattamente come un termometro. Ma mentre nel mondo della medicina lo strumento di misura della febbre ci aggiorna sullo stato dell’infezione, ormai già in corso, i penetration test possono costituire una misura preventiva di analisi, per evitare l’ingresso di una “infezione informatica”. L’obiettivo dei penetration test, infatti, dovrebbe essere sempre quello di migliorare i processi interni di valutazione e gestione della vulnerabilità della propria organizzazione, secondo i risultati ottenuti nei test. Una corretta adozione e un corretto uso dei penetration test consentono di trarre il massimo beneficio da questa prassi. In sostanza, anche se sembrano costosi, in realtà i penetration test rappresentano un investimento che supporta, aiuta e consente di pianificare le routinarie misure di sicurezza dell’operatività standard, oppure di intervenire con misure straordinarie. Definizione formale di penetration test Secondo il National Cyber Security Center inglese (NCSC, Autorità indipendente sulla Cyber Security, n.d.r.) il penetration test può essere definito come “un metodo per assicurare la protezione di un sistema IT, mediante tentativi di violazione attuati su tutto o su parte di quel sistema, utilizzando gli stessi strumenti e le stesse tecniche di un avversario”. I penetration test sono in grado di rivelare le modalità di sfruttamento delle vulnerabilità e infatti sono solitamente svolti in coppia con il Vulnerability Assessment (sigla VA/PT). La coppia di verifiche enfatizza come la ricerca e scoperta di vulnerabilità nei sistemi informatici abbia l’esigenza di essere riscontrata con molteplici sessioni di penetration test, che fanno distinguere le vulnerabilità di tipo “falso positivo” con quelle realmente sfruttabili dai criminali informatici. Nel complesso, possiamo dire che i penetration test identificano il livello di rischio tecnico derivante dalle vulnerabilità di software e hardware. Tipi di penetration test Non esiste una sola tecnica di svolgimento dei penetration test. Infatti, all’interno dello stesso regime di test, si possono scegliere tecniche diverse secondo i target individuati su cui testare la sicurezza e secondo il livello di conoscenza del sistema da fornire in anticipo ai tester e agli amministratori di sistema. Tutte queste variabili contribuiscono a diversificare i tipi di penetration test, ma anche le modalità di svolgimento. Pertanto, la qualità è strettamente legata alle capacità dei tester coinvolti. Tutti i tipi di penetration test si distinguono in due macrogruppi. Penetration test whitebox Caratterizzati da informazioni complete sull'obiettivo condivise dall’azienda con i tester. Questo tipo di test conferma l'efficacia della valutazione della vulnerabilità interna e dei controlli di gestione, identificando l'esistenza di vulnerabilità note del software e errori di configurazione comuni nei sistemi di un'organizzazione. Penetration test blackbox Nessuna informazione relativa al sistema target è condivisa con i tester. Questo tipo di test viene eseguito da una prospettiva esterna e mira a identificare i modi per accedere alle risorse IT interne di un'organizzazione. Questo modella in modo più preciso il rischio affrontato dagli aggressori che sono sconosciuti o non affiliati all'organizzazione target. Tuttavia, la mancanza di informazioni può causare la mancata scoperta di come sfruttare le vulnerabilità scoperte, avendo un tempo limitato per i test. Tipi di test che si possono svolgere in white o blackbox sono: identificazione della vulnerabilità in software personalizzati o di nicchia (tipicamente usati per le Web app n.d.r.), test basati su scenari e device volti a identificare le vulnerabilità meglio sfruttabili, e test basati su scenari di capacità di rilevamento e risposta. Qualunque sia la metodologia di test e il modo di effettuarli, è necessario definire lo scenario, il perimetro di applicazione e, se l’organizzazione reagisce mediante individuazione dei test di attacco simulato, che tipo di risposta riesca a mettere in atto, in che tempi e con quale efficacia. L'NCSC raccomanda di utilizzare tester e aziende che fanno parte dello schema CHECK. Le Fasi di un processo di Vulnerability Assessment / Penetration Test Per effettuare i test di Vulnerability Assessment/ Penetration Test (VA/PT) si segue un processo strutturato formato da: Definizione degli obiettivi dell'analisi; Definizione dell’Ambito in cui effettuare i test (Perimetro di applicabilità); Raccolta di informazioni sull'ambiente IT per individuare numero e tipo di reti dell’ambiente, indirizzi IP, versione/i del sistema operativo; Rilevamento delle vulnerabilità mediante utilizzo di tool che eseguono scansioni dell'ambiente IT. Questa sezione è a sua volta divisa in 5 sottoprocessi: Setup Esecuzione dei test (VA) Analisi e Classificazione delle vulnerabilità: sono assegnati i tag “Alta”, “Media”, “Bassa” a ogni vulnerabilità in base alla sua pericolosità e dalla presenza di exploit di sfruttamento. Gli stessi exploit sono identificati per ogni risorsa IT per cui è presente una vulnerabilità. Infine, si determina una strategia per le criticità prioritarie. Reporting Remediation Analisi e pianificazione delle informazioni, ovvero identificazione delle modalità di sfruttamento delle vulnerabilità per la violazione di rete e sistemi (PT). Penetration Test Report Al termine dei test è molto importante documentare in modo appropriato quanto scoperto. I Penetration Test report assumono quindi un ruolo cruciale perché devono essere letti da stakeholder diversi al fine comprendere il rischio e consentire la presa di decisioni. I Penetration Test Report sono tipicamente strutturati in due macrosezioni: Riepilogo di alto livello dei risultati: si presenta come una panoramica concisa dei risultati pensata per i dirigenti dell'azienda, che sono alla ricerca di risposte attuabili senza l’esigenza di addentrarsi nella totalità di informazioni del report. Il riassunto spiega in un linguaggio semplice come siano stati aggirati e quanto scoperto all'interno dei sistemi. Espone infine i miglioramenti della sicurezza: consigli di protezione in ordine di priorità e gli interventi di miglioramento a breve, medio e lungo termine. Descrizione dettagliata del contesto dell'attacco, dei test e delle tecniche e tattiche usate dagli attaccanti e le lacune di sicurezza.", "author" : { "@type" : "Person", "name" : "cyberoo-admin", "sameAs" : [ "https://www.linkedin.com/company/cyberoo-italia" ], "url" : "https://blog.cyberoo.com/author/cyberoo-admin" }, "dateModified" : "1635871806559", "datePublished" : "2020-03-24 11:30:00", "description" : "Il penetration test è uno strumento chiave per l'analisi e la misura del livello di sicurezza dei sistemi IT. Ecco perché è indispensabile per le aziende", "editor" : { "@type" : "Person", "name" : "cyberoo-admin" }, "headline" : "Cos'è un Penetration test e perché è indispensabile", "image" : { "@type" : "ImageObject", "height" : 675, "url" : "https://f.hubspotusercontent30.net/hubfs/6892231/Penetration%20Test.jpg", "width" : 1200 }, "inLanguage" : "it-IT", "isAccessibleForFree" : true, "mainEntityOfPage" : { "@id" : "https://blog.cyberoo.com/penetration-test-in-cosa-consiste-e-perche-e-indispensabile", "@type" : "WebPage" }, "publisher" : { "@type" : "Organization", "logo" : { "@type" : "ImageObject", "url" : "" }, "name" : "Blog", "sameAs" : [ "https://www.linkedin.com/company/cyberoo-italia" ] }, "url" : "https://blog.cyberoo.com/penetration-test-in-cosa-consiste-e-perche-e-indispensabile", "wordCount" : 966 } ```