Un’autorizzazione legale è ciò che determina se un’irruzione all’interno di una rete aziendale è un caso di hacking, o il semplice processo di lavoro di un professionista informatico. Individuare una falla in un’applicazione, forzare una password o provare ad accedere a una rete sono tutte attività che associamo immediatamente agli hacker; eppure possono far parte anche del lavoro di chi viene pagato per proteggere un sistema digitale. È questo il principio dell’ethical hacking: utilizzare tecniche simili a quelle di un criminale informatico, ma con lo scopo di individuare le vulnerabilità prima che possano essere sfruttate realmente.
I cosiddetti penetration tester operano con l’autorizzazione del proprietario del sistema e all’interno di precise regole: se un’azienda chiede a un professionista di verificare la sicurezza della propria rete, tentare di superarne le difese fa parte dell’incarico. Provare a entrare nella stessa rete senza autorizzazione, anche soltanto “per vedere se è vulnerabile”, può invece configurare un accesso abusivo.
Come si svolgono le verifiche?
Prima di un test viene definito quello che nel settore si chiama scope, cioè il perimetro entro il quale l’ethical hacker può muoversi. Si stabiliscono i sistemi da analizzare, le tecniche consentite e gli eventuali limiti: si può, per esempio, avere il permesso di testare un sito web ma non la posta elettronica dei dipendenti o i server di un fornitore esterno. Anche dopo la scoperta di una falla durante le analisi, il professionista deve raccogliere soltanto le informazioni necessarie a dimostrarne l’esistenza, evitando di accedere inutilmente a dati riservati o provocare danni.
Prima di diventare esperti e poter operare su dati e informazioni sensibili reali, bisogna esercitarsi: ovviamente, si possono costruire reti virtuali con computer e servizi volutamente vulnerabili; nelle quali gli studenti dell’Accademia imparano a riconoscere punti deboli, analizzare ciò che avviene durante un attacco e mettere in pratica le possibili contromisure.
Uno dei modelli più conosciuti in ambito di cybersecurity mette a confronto Red Team VS Blue Team: il primo assume il ruolo dell’attaccante e cerca un modo per superare le difese, mentre il secondo deve individuare l’intrusione e bloccarla. La parte interessante di questa operazione è che entrambe le esperienze servono alla difesa: per riconoscere un attacco bisogna prima comprendere come viene costruito.
Una volta trovata una falla, il professionista deve saper spiegare all’azienda per cui lavora come sia stato possibile, quali rischi comporta e come correggere il problema. Il risultato finale di un penetration test è infatti un rapporto che consente all’organizzazione di intervenire: aggiornare un software, modificare una configurazione, rafforzare o limitare determinati accessi.
Anche quando una vulnerabilità viene scoperta casualmente, la situazione richiede cautela. Alcune aziende hanno programmi di vulnerability disclosure o bug bounty che stabiliscono in anticipo quali sistemi possano essere testati. In assenza di queste autorizzazioni, scoprire una possibile falla non significa avere il diritto di continuare a esplorarla. La competenza di un professionista della sicurezza, quindi, non consiste soltanto nel sapere come superare una protezione ma anche nel sapere quando è autorizzato a farlo, quali limiti rispettare e quando fermarsi.
