Penetration test che mostrano fin dove arriva un attaccante.
Attacchiamo applicazioni, reti e cloud come farebbe un avversario reale, dentro un perimetro e regole di ingaggio concordati, e dimostriamo ogni vulnerabilità con una proof of concept funzionante. A guidare il lavoro sono tester certificati; BackBox AI ne estende la portata.
Che cosa ti dice un penetration test
Un penetration test è un attacco controllato ai tuoi sistemi. Una scansione si ferma all'elenco delle debolezze; il pentest le sfrutta, le concatena e ne misura l'impatto reale: dati che si possono leggere, account di cui si può prendere il controllo, sistemi raggiungibili da internet o dalla rete interna.
Conviene farlo prima di un rilascio o di un cambiamento importante, per rispettare un obbligo normativo o contrattuale, oppure per capire se i controlli su cui hai investito fermano davvero un attaccante. Lavoriamo in black box, grey box o white box, a seconda di ciò che vuoi sapere e del tempo a disposizione.
Penetration Testing Simula attacchi reali
- External & internal network testing
- Web application & API testing
- Mobile application testing
- Wireless security assessment
- Cloud security testing
- Active Directory security review
Risultati
- Vulnerabilità sfruttabili identificate
- Attack path dimostrati
- Reportistica tecnica ed executive
- Defensive readiness migliorata
Dal perimetro al retest, in cinque fasi.
Ogni incarico segue un metodo ripetibile e allineato agli standard pubblici, così i risultati restano confrontabili nel tempo e tra fornitori diversi.
Perimetro e regole di ingaggio
Concordiamo obiettivi, tipo di test, finestre temporali, utenze di prova e vincoli, oltre al canale per segnalarti subito una vulnerabilità critica.
Ricognizione e mappatura
Mappiamo la superficie d'attacco: host, servizi, endpoint, ruoli e flussi di dati. BackBox AI velocizza l'enumerazione e conserva il contesto dell'intero incarico.
Ricerca delle vulnerabilità
Test manuali e strumenti mirati fanno emergere difetti di autenticazione, autorizzazione, gestione degli input, configurazione e logica applicativa.
Sfruttamento e concatenazione
Sfruttiamo ciò che troviamo, in sicurezza e dentro il perimetro, e colleghiamo le debolezze in percorsi d'attacco realistici che ne rendono evidente l'impatto sul business.
Report e retest
Un executive summary e un report tecnico con evidenze, gravità CVSS e indicazioni di correzione per ogni finding. Su richiesta, un retest verifica che le correzioni funzionino.
Allineati agli standard riconosciuti.
Il metodo segue l'OWASP Web Security Testing Guide, l'OWASP API Security Top 10, PTES e NIST SP 800-115, e ogni finding è ricondotto a CWE e MITRE ATT&CK. I report sono evidenze utilizzabili negli audit per PCI DSS (requisito 11.4), ISO/IEC 27001, DORA e NIS2.
BackBox AI, la nostra piattaforma agentica, lavora accanto ai tester: mappa la superficie più in fretta ed esplora più percorsi d'attacco in parallelo, mentre sono le persone a decidere che cosa sfruttare e a validare ogni risultato.
Framework e riferimenti
Penetration test, le domande più frequenti.
Che differenza c'è tra penetration test e vulnerability assessment?
Il vulnerability assessment individua e classifica le vulnerabilità note su molti sistemi, in gran parte con scansioni automatiche. Il penetration test va oltre: i tester sfruttano e concatenano le vulnerabilità per dimostrare che cosa otterrebbe davvero un attaccante. Spesso le due attività si combinano in un VAPT, con assessment frequenti e penetration test sugli asset più critici.
Ogni quanto va fatto un penetration test?
Almeno una volta l'anno e dopo ogni modifica significativa a un'applicazione o all'infrastruttura. È quanto chiede PCI DSS per i sistemi in perimetro, mentre ISO/IEC 27001, NIS2 e DORA si aspettano verifiche regolari e proporzionate al rischio.
Black box, grey box o white box: quale scegliere?
Il black box simula un attaccante esterno che non sa nulla; il grey box aggiunge credenziali o documentazione e, a parità di tempo, copre più superficie; il white box include codice sorgente e configurazioni per l'analisi più profonda. Per la maggior parte delle applicazioni consigliamo il grey box, e la scelta si fa insieme quando si definisce il perimetro.
Come proteggete i sistemi di produzione durante il test?
Le regole di ingaggio fissano obiettivi, finestre temporali e azioni vietate. Le tecniche potenzialmente invasive si concordano prima, le vulnerabilità critiche ti vengono segnalate subito e un operatore mantiene il controllo di ogni azione, comprese quelle preparate da BackBox AI.
Quanto costa un penetration test?
Dipende dal perimetro: numero di applicazioni, API o host, ruoli utente da verificare, approccio di test ed eventuali vincoli di tempo. Dopo una breve call per definire il perimetro ti inviamo un preventivo basato sull'impegno stimato.