Ruolo, compiti e competenze del Penetration Tester

Penetration Tester: chi è e cosa fa 

Il Penetration Tester è un professionista informatico che ha il compito di attaccare in modo lecito un’organizzazione al fine di individuare vulnerabilità e difetti presenti all’interno di siti web, reti, sistemi informatici e dispositivi.

Nello svolgimento della sua attività, iI Penetration Tester dovrebbe di fatto ragionare come un potenziale hacker, simulando attacchi informatici utili a valutare l’efficacia delle misure di protezione adottate e a individuare eventuali falle presenti nei sistemi informatici dell’organizzazione.

Il Penetration Tester opera quindi nell’ambito della Cyber Security, contribuendo a garantire la sicurezza delle informazioni sensibili e a valutare l’idoneità dei sistemi di sicurezza utilizzati. A tal fine può svolgere numerosi tipi di test, come ad esempio: 

• Penetration test esterni: usati per verificare la possibilità che un hacker entri all’interno del sistema informatico partendo dall’esterno. In questo caso, il Penetration Tester cercherà di trovare i punti di accesso “scoperti” che potrebbero consentire all’hacker di penetrare all’interno del sistema. Questi test sono effettuati dal Penetration Tester partendo dal web e dai motori di ricerca, senza conoscere l’infrastruttura aziendale.

• Penetration test interni: il fine è quello di trovare debolezze all’interno dei sistemi utilizzati dai dipendenti. Il test viene effettuato dall’interno dell’organizzazione simulando l’operato di un hacker che, ottenendo password o credenziali d’accesso di un dipendente, potrebbe accedere facilmente ai sistemi aziendali.

• Targeted Testing: condotto insieme al dipartimento IT, al fine di fargli comprendere in che modo un hacker potrebbe pensare e agire. 

• Blind Testing: si caratterizza per il fatto che il Penetration Tester simula l’attacco, senza avere informazioni oltre al nome dell'azienda.

• Double Blind Testing: è simile al Blind Testing, ma si differenzia per il fatto che, nel momento in cui viene effettuato, il dipartimento IT non è a conoscenza dello svolgimento del test. 

La figura del Penetration Tester potrebbe essere assimilata a quella del Vulnerability Assessor, dato che entrambi individuano i punti deboli della sicurezza e danno suggerimenti al fine di eliminarli. La differenza sta nel fatto che il Vulnerability Assessor individua le vulnerabilità attraverso strumenti di scansione automatica, mentre il Penetration Tester simula il comportamento di un hacker e sfrutta le vulnerabilità presenti all’interno di siti web, reti, sistemi informatici e dispositivi aziendali. 

 

Principali compiti e responsabilità del Penetration Tester

Il Penetration Tester ha quindi come fine ultimo quello di garantire la sicurezza informatica e proteggere i sistemi e i dati da minacce esterne e interne. Tra i suoi principali compiti si possono menzionare:

• Effettuare test di penetrazione su siti web, reti, sistemi informatici e dispositivi al fine di identificare vulnerabilità, debolezze ed eventuali intrusioni.

• Progettare e sviluppare exploit, script e strumenti personalizzati per eludere le misure di sicurezza esistenti.

• Redigere report, in cui evidenziare le problematiche riscontrate e il relativo livello di criticità.

• Documentare in modo completo, accurato e comprensibile tutte le fasi degli attacchi condotti, in modo che possano essere riprodotti e compresi dalle altre persone coinvolte nella sicurezza.

• Valutare l'efficacia delle misure di correzione applicate, verificando se le vulnerabilità siano state effettivamente eliminate.

 

La formazione e le competenze del Penetration Tester

Per poter diventare Penetration Tester è solitamente richiesta una laurea in Informatica. Inoltre, esistono anche numerosi corsi specializzanti che possono fornire ulteriori competenze e conoscenze utili a ricoprire questo ruolo.

Tra le competenze che un Penetration Tester dovrebbe possedere si possono menzionare: 

• Conoscenza dei principali linguaggi di programmazione, come ad esempio Java e Python.

• Conoscenza dei firewall e dei sistemi come Windows e Unix.

• Adattabilità, intesa come capacità di adattarsi a un linguaggio o a una applicazione non conosciuta.

• Doti di problem solving. 

 

 

Sei alla ricerca di personale qualificato in ambito Cyber Security? Contattaci per ricevere maggiori informazioni su Buckler Cyber Security Recruitment.

 

Leggi anche:

Vulnerability Assessor: ruolo, competenze e formazione

Chief Information Security Officer: ruolo, competenze e formazione