Impara

L'ethical hacking, chiamato anche penetration testing o hacking white-hat, consiste nel testare sistemi, reti e applicazioni alla ricerca di vulnerabilità con il permesso esplicito del proprietario. A differenza dei criminali, gli ethical hacker vengono assunti per trovare e aiutare a correggere le debolezze prima che qualcun altro le sfrutti. Solide competenze tecniche contano, ma ciò che separa un professionista da un semplice fastidio è la disciplina: autorizzazione scritta, rispetto dello scope, protezione dei risultati sensibili e responsible disclosure.

Prima di qualsiasi test, è necessario comprendere il quadro normativo. Il Computer Fraud and Abuse Act negli USA, e leggi simili nel resto del mondo, criminalizzano l'accesso non autorizzato ai sistemi informatici. L'autorizzazione è tutto. Fonti valide: contratti di lavoro che autorizzano test interni, lettere di incarico firmate per penetration test, regole di programmi di bug bounty che concedono il permesso su asset specifici, oppure consenso scritto dei proprietari dei dispositivi per la ricerca hardware. Anche con l'autorizzazione, rispetta lo scope: quali sistemi sono inclusi, quali sono esclusi e quali azioni (ad esempio distruzione di dati, DoS) sono vietate. I tester professionisti usano contratti dettagliati e documenti di regole di ingaggio per rendere esplicite le aspettative.

L'attack surface è la somma di tutti i punti da cui un utente non autorizzato potrebbe provare a entrare o a estrarre dati da un sistema. Le superfici di rete includono porte esposte, reti wireless, VPN e dispositivi di infrastruttura. Le superfici applicative coprono web app, API, app mobile e autenticazione. Le superfici umane includono obiettivi di social engineering e minacce interne. Le superfici fisiche includono l'accesso agli edifici, le opportunità di manomissione dell'hardware e le postazioni di lavoro sbloccate. Le valutazioni complete esaminano tutto questo: gli attaccanti sfruttano l'anello più debole, indipendentemente da cos'altro sia protetto.

Le vulnerabilità di sicurezza rientrano in categorie comuni. L'injection (SQLi, command injection) si verifica quando dati non affidabili arrivano a un interprete. I difetti di autenticazione includono password deboli, MFA assente, session hijacking e credential stuffing. I difetti di autorizzazione permettono agli utenti di compiere azioni che non dovrebbero poter fare. Il cross-site scripting (XSS) permette agli attaccanti di eseguire script nei browser di altri utenti. Difetti crittografici: algoritmi deboli, archiviazione insicura, validazione dei certificati errata. Le misconfigurazioni di sicurezza, come impostazioni predefinite insicure ed errori troppo verbosi, sono tra i bug più comuni e più facili da correggere nei sistemi in produzione.

' OR '1'='1' -- 

L'Open Source Intelligence (OSINT) è l'intelligence raccolta da fonti pubblicamente disponibili: registri pubblici, social media, notizie, pubblicazioni accademiche, dataset governativi, metadati dei siti web, record DNS e pagine archiviate. L'OSINT è prezioso per valutazioni, threat intelligence e indagini. L'abilità sta nel trovare, correlare e analizzare in modo efficiente, non nell'accedere a informazioni segrete. È legale quando usato su dati pubblici, anche se restano questioni etiche legate alla privacy.

I motori di ricerca indicizzano miliardi di pagine, ma la maggior parte delle persone usa solo le funzioni di base. Gli operatori avanzati trasformano Google in uno strumento di ricognizione, e combinarli crea query potenti. Filtri temporali, pagine in cache e logica booleana estendono ulteriormente la tua portata.

site:edu filetype:pdf "internal use only"

intitle:"admin login" -inurl:example.com

Le piattaforme di social media contengono enormi quantità di informazioni personali e organizzative condivise liberamente. Una SOCMINT efficace richiede di capire ogni piattaforma: LinkedIn rivela impiego e struttura organizzativa; Twitter/X offre segnali in tempo reale e geotag; GitHub mostra competenze degli sviluppatori e a volte credenziali trapelate; Reddit e i forum ospitano discussioni tecniche di nicchia. Strumenti specializzati aiutano: Maltego visualizza grafi di relazioni, theHarvester aggrega email e sottodomini, Social-Searcher traccia le menzioni. I professionisti OSINT etici rispettano i confini della privacy, usano dati genuinamente pubblici, evitano profili falsi e non sfruttano misconfigurazioni della privacy.

Prima di toccare una rete target, raccogli dati pubblici sull'infrastruttura. WHOIS rivela i dettagli di registrazione. L'enumerazione DNS trova sottodomini tramite i log di Certificate Transparency (crt.sh), il brute forcing e gli archivi DNS passivi (SecurityTrails). Shodan e Censys sono motori di ricerca per dispositivi esposti su internet, e rivelano servizi e versioni vulnerabili in tutto il mondo. Il reverse IP lookup trova domini co-ospitati. ARIN e RIPE mostrano le assegnazioni di IP. Tutto questo è legale e invisibile al target: interroghi solo database pubblici.

curl -s "https://crt.sh/?q=%25.example.com&output=json" | jq -r '.[].name_value' | sort -u

I test professionali iniziano con la pianificazione molto prima di qualsiasi lavoro tecnico. La definizione dello scope specifica i sistemi inclusi (range IP, domini, app), i sistemi esclusi, i tipi di test (black, grey o white box), i metodi consentiti, le finestre temporali, i criteri di successo, i protocolli di comunicazione e le tutele legali. Un documento di regole di ingaggio formalizza tutto questo in un contratto firmato. Uno scope mal definito porta a incomprensioni, problemi legali e valutazioni inadeguate.

La ricognizione passiva usa informazioni pubblicamente disponibili senza toccare i target: OSINT, motori di ricerca, annunci di lavoro che rivelano lo stack tecnologico, record DNS, versioni archiviate. La ricognizione attiva interagisce direttamente: scansioni di porte con Nmap, enumerazione dei servizi, spidering delle applicazioni web, mappatura della rete, banner grabbing, scansione delle vulnerabilità. L'obiettivo: capire l'attack surface del target, le sue tecnologie, le potenziali vulnerabilità e i controlli di sicurezza prima dello sfruttamento.

nmap -sV -sC -oA recon/target 10.0.0.0/24

Dopo la ricognizione, la valutazione delle vulnerabilità identifica debolezze specifiche. Gli strumenti automatizzati (Nessus, OpenVAS, Qualys) controllano rapidamente migliaia di CVE noti, ma producono falsi positivi e non colgono i difetti di logica di business. I test manuali coprono la revisione della configurazione, l'autenticazione, l'autorizzazione e l'escalation di privilegi, la gestione degli input, le fughe di informazioni nei messaggi di errore e l'implementazione crittografica. CVSS standardizza la severità. La prioritizzazione basata sul rischio pesa il contesto di business: un risultato di severità media su un sistema di pagamento supera in importanza uno critico su una macchina di sviluppo isolata.

L'exploitation dimostra che le vulnerabilità sono reali. Può significare SQL injection per estrarre dati, RCE per ottenere una shell, escalation di privilegi, bypass dell'autenticazione o XSS per mostrare la compromissione di un account. La post-exploitation dimostra l'impatto completo: movimento laterale, escalation a privilegi di amministratore, esfiltrazione di dati (simulata), meccanismi di persistenza, pivoting. I tester professionisti si fermano non appena l'impatto è dimostrato, riducono al minimo l'accesso ai dati reali, documentano tutto e informano immediatamente il cliente sui risultati critici.

Il report traduce i risultati tecnici in intelligence di business. Dovrebbe includere un riepilogo esecutivo senza gergo tecnico, risultati tecnici con passaggi di riproduzione e prove, valutazioni CVSS o di rischio, raccomandazioni di remediation e suggerimenti strategici per la postura di sicurezza complessiva. Prioritizza in base al rischio di business, non solo alla severità tecnica. La verifica della remediation significa ritestare dopo che le correzioni sono state applicate, per confermare che funzionino e che nulla sia regredito. Il valore di un test sta nei miglioramenti che genera, non nelle shell.

La responsible (coordinated) disclosure significa segnalare i problemi privatamente al vendor e concedergli un tempo ragionevole per rilasciare una patch prima che i dettagli diventino pubblici. Protegge gli utenti, dà al vendor lo spazio per correggere e mantiene la fiducia. Le alternative falliscono: la full disclosure aiuta prima gli attaccanti, la non-disclosure a tempo indeterminato lascia gli utenti esposti in silenzio, e la vendita ad acquirenti criminali o statali facilita il danno. La maggior parte dei ricercatori e dei grandi vendor considera la disclosure coordinata lo standard etico.

Inizia controllando se esiste una policy di disclosure pubblicata o un file /.well-known/security.txt. Molte aziende gestiscono programmi di bounty su HackerOne, Bugcrowd o Intigriti. Se nessuno dei due esiste, contatta security@<dominio>. Il tuo report dovrebbe includere una descrizione chiara, i passaggi di riproduzione, una valutazione dell'impatto, una proof of concept, i tuoi dati di contatto e una richiesta di conferma di ricezione. Usa PGP per il codice di exploit. Sii paziente e fai un follow-up cortese dopo una o due settimane di silenzio. Tieni registri dettagliati di tutte le comunicazioni.

Contact: mailto:security@example.com
Expires: 2027-01-01T00:00:00.000Z
Preferred-Languages: en
Canonical: https://example.com/.well-known/security.txt

90 giorni dalla segnalazione alla disclosure pubblica è la linea di base comune, adattata alle circostanze: più veloce se il bug è critico e attivamente sfruttato, più lunga per problemi architetturali quando il vendor collabora. La disclosure pubblica dovrebbe avvertire gli utenti, fornire mitigazioni se non è disponibile una patch, dare credito a tutti in modo equo ed evitare più dettagli di exploit di quanti servano ai difensori. L'obiettivo è proteggere gli utenti, non punire i vendor o inseguire titoli di giornale.

I programmi di bug bounty offrono disclosure strutturata con ricompense. Le principali piattaforme ospitano programmi per migliaia di aziende. Ogni programma definisce il proprio scope, i problemi esclusi (ad esempio self-XSS, DoS), le fasce di ricompensa e le regole di ingaggio. Per i ricercatori significano denaro, chiarezza legale, target reali e reputazione. Per le aziende: copertura continua, prospettive diverse e buoni rapporti con la community. Partecipare con successo significa leggere le regole con attenzione, rispettare lo scope, scrivere report di alta qualità e accettare che non ogni risultato sia qualificato.