Fasi di test di penetrazione

Quando si esegue un test di penetrazione di un'applicazione Web, è possibile generalizzare diversi passaggi. Ognuno di essi è caratterizzato dall'utilizzo di diversi strumenti e dallo stesso risultato ottenuto. Si può anche notare che le singole fasi non sempre si verificano strettamente l'una dopo l'altra. Molto spesso, tuttavia, i risultati ottenuti da una fase sono spesso input per la fase successiva. Il grafico sottostante mostra le fasi estratte del test di penetrazione: La prima fase del test di penetrazione dell'applicazione web è principalmente quello di raccogliere il maggior numero possibile di informazioni sull'applicazione web attaccata. Chiunque, anche all'inizio, che sembri banale, può essere cruciale per trovare e sfruttare potenziali errori. Ciò includerà principalmente informazioni sulle tecnologie utilizzate, sull'identificazione della rete e sul sistema operativo. La fase successiva si concentra sulla scoperta dell'intera applicazione, imparandone la logica e tutte le funzionalità. Ciò è necessario per valutare e distinguere correttamente gli errori di sicurezza dai risultati corretti e previsti dell'applicazione. Il prossimo è la fase di ricerca di potenziali errori. Questo viene fatto eseguendo vari tipi di test. Ciò consente di determinare se una determinata funzionalità dell'applicazione può essere utilizzata in modo pericoloso. Continua la fase di sfruttamento degli errori riscontrati. È qui che il tester di penetrazione prepara il vettore di attacco per qualsiasi profitto, ad esempio ottenendo informazioni sensibili. A seconda dei risultati ottenuti, l'utente malintenzionato valuta la criticità della vulnerabilità rilevata. L'ultimo e più importante dal punto di vista del cliente è la fase di documentare accuratamente le vulnerabilità rilevate e preparare un report sugli studi condotti. Il documento preparato dovrebbe essere scritto in un linguaggio universale comprensibile sia per il personale tecnico che per quello dirigenziale. Per semplificare le decisioni difficili, descrivi le vulnerabilità rilevate in modo da mostrarne l'impatto sulla tua azienda.