Vulnerability assessment o penetration test: le differenze e quale scegliere

Vulnerability assessment e penetration test vengono spesso usati come sinonimi, e chi li vende non sempre aiuta a distinguerli. In realtà rispondono a due domande diverse, costano cifre diverse e servono in momenti diversi. Sceglierli a caso significa spendere troppo per una verifica che non serviva, o troppo poco per quella che serviva davvero. Questa pagina mette in chiaro la differenza tra vulnerability assessment e penetration test e aiuta a decidere quale dei due ha senso, e quando.

La differenza tra vulnerability assessment e penetration test, in una riga

Il vulnerability assessment è ampio e non sfrutta le vulnerabilità: cerca il maggior numero possibile di punti deboli noti su tutta la superficie esposta e li restituisce ordinati per gravità. Il penetration test è stretto e profondo: chi lo esegue prova attivamente a sfruttare pochi punti deboli, come farebbe un attaccante reale, per dimostrare fin dove si riesce ad arrivare e con quale impatto concreto.

L'immagine giusta è quella di un edificio. Il vulnerability assessment è l'ispezione che elenca le porte lasciate aperte, le serrature deboli e le finestre senza chiusura, senza entrare. Il penetration test è la prova che una di quelle porte si apre davvero, e mostra fin dove si arriva una volta dentro. Il primo risponde a "dove sono i punti deboli?"; il secondo a "qualcuno riesce davvero a entrare, e a fare cosa?".

Cosa fa un vulnerability assessment

Un vulnerability assessment esamina in modo sistematico un'applicazione, un'API, un sistema o una rete per individuare le vulnerabilità note: configurazioni deboli, componenti non aggiornati, dati esposti più del necessario, controlli di accesso troppo larghi. Individua e classifica i problemi, ma non li sfrutta. Il risultato non è l'output grezzo di uno strumento, ma una lista di rilievi ordinati per gravità, con l'indicazione di cosa correggere e con quale priorità. È la verifica ad ampio raggio, adatta all'igiene periodica e a una copertura completa a costo contenuto.

Cosa fa un penetration test

Un penetration test (in italiano test di penetrazione) è una simulazione di attacco condotta da un professionista o da un team, non da un solo strumento. Anche il penetration test comincia da una propria fase di ricognizione e ricerca delle vulnerabilità, ma su un perimetro ristretto e con l'obiettivo di sfruttarle, non di elencarle tutte. Da lì chi esegue prova a sfruttare pochi punti concatenandoli, come farebbe un attaccante, per arrivare a un obiettivo concreto: leggere dati che dovrebbero restare protetti, ottenere privilegi più alti, entrare dove non si dovrebbe.

Il valore sta nella prova, non nell'elenco: dimostra che un problema è realmente sfruttabile e quanto danno produce. La differenza rispetto al vulnerability assessment non è "con strumenti" contro "senza strumenti", perché anche il penetration test usa scanner e tool nelle fasi iniziali. La differenza è chi guida: nel penetration test è una persona a ragionare, sfruttare e concatenare i problemi a mano, con i tool come supporto. Per questo esistono metodi riconosciuti (standard come NIST SP 800-115 e PTES, le guide OWASP), richiede tempo e competenza, ed è più costoso e mirato.

Le differenze punto per punto

Quando basta il vulnerability assessment

Per la maggior parte delle situazioni, soprattutto all'inizio, il vulnerability assessment è la scelta giusta e sufficiente:

• prima di un rilascio o di una beta, per non far arrivare utenti e dati veri su una superficie mai esaminata;
• dopo un cambiamento importante: una nuova integrazione, una funzionalità che allarga la superficie esposta, una migrazione;
• con una certa periodicità, perché nuove vulnerabilità vengono scoperte di continuo anche nei componenti già in uso;
• quando serve una copertura ampia con un budget definito, e conta più trovare molto che approfondire pochissimo;
• come base per una richiesta di conformità o come primo quadro chiaro dello stato di sicurezza.

Quando serve il penetration test

Il penetration test ha senso quando non basta sapere che una porta sembra aperta, ma serve dimostrare cosa succede se qualcuno la forza:

• prima di un rilascio critico o dell'esposizione di un sistema che tratta dati particolarmente sensibili;
• quando un cliente, un bando o un requisito normativo o assicurativo lo chiede esplicitamente;
• su un bersaglio ad alto valore, dove l'impatto di una singola falla sfruttata sarebbe grave;
• dopo aver corretto i rilievi di un assessment, per verificare sul campo che i punti più critici non siano più sfruttabili;
• quando serve una prova concreta, e non solo un elenco, per convincere chi deve decidere un investimento in sicurezza.

Quando servono entrambi, e in che ordine

Non sono in concorrenza: sono due passi di uno stesso percorso. Un penetration test autonomo è pienamente legittimo quando lo scopo è dimostrare l'impatto su un bersaglio critico ben preciso. Ma quando si vuole sia una copertura ampia sia la prova di sfruttabilità, l'ordine efficiente è quasi sempre lo stesso. Prima il vulnerability assessment, che dà la mappa completa dei punti deboli e li mette in ordine di gravità. Poi, dove i rilievi più seri lo giustificano o dove il bersaglio è più sensibile, un penetration test mirato che verifica in profondità quelle poche parti. Partire dal penetration test senza una mappa d'insieme, quando serve coprire tutto il perimetro, è meno efficiente: si scava in profondità su pochi punti senza sapere se sono quelli che contano di più.

In breve: quale scegliere

Un equivoco da evitare: la scansione automatica non è un penetration test

Attenzione a chi vende una "scansione automatica" a prezzo sospettosamente basso chiamandola penetration test. Uno strumento che gira da solo e consegna il proprio output grezzo non è un penetration test, perché non sfrutta nulla e nessuno interpreta i risultati; e non è nemmeno un vulnerability assessment fatto bene, perché salta proprio la parte che conta: il giudizio umano che separa i falsi positivi dai rischi reali e dice da dove cominciare. È metà del lavoro venduta come intero. Un assessment serio e un penetration test serio hanno una cosa in comune: dietro c'è una persona che ragiona, non solo un programma che segnala.

Quanto costano

Il vulnerability assessment su perimetro definito parte da un prezzo fisso di €900, con il report dei rilievi in ordine di gravità e le correzioni; su perimetri più ampi si passa a un preventivo a fasi. Il penetration test costa di più, perché è tempo di lavoro manuale e mirato, e il prezzo dipende dall'ambito e dalla profondità richiesta. Una nota di onestà: il penetration test venduto come servizio a sé richiede figure dedicate. Il perimetro qui è la sicurezza applicativa, cioè l'assessment delle vulnerabilità e la revisione del software progettato sicuro fin dall'inizio, che è spesso ciò che serve davvero per partire con l'investimento sotto controllo.

In sintesi

• Il vulnerability assessment è ampio e non sfrutta: trova molte vulnerabilità note e le ordina per gravità.
• Il penetration test è profondo e mirato: parte da una propria ricognizione e poi sfrutta pochi punti per dimostrare l'impatto reale.
• Per iniziare, e nella maggior parte dei casi, basta il vulnerability assessment.
• Il penetration test si riserva ai bersagli sensibili, ai rilasci critici e ai requisiti espliciti.
• Se servono entrambi, si parte dall'assessment e si prosegue con il test mirato dove conta.
• Una scansione automatica senza analisi umana non è né l'uno né l'altro: è metà del lavoro.

Domande frequenti

Qual è la differenza tra vulnerability assessment e penetration test?

Il vulnerability assessment è ampio e non sfrutta le vulnerabilità: cerca quante più debolezze note possibile su tutta la superficie e le ordina per gravità. Il penetration test è profondo e mirato: dopo una propria ricognizione, chi lo esegue prova a sfruttare pochi punti, come un attaccante, per dimostrare fin dove si riesce ad arrivare e con quale impatto.

È meglio un vulnerability assessment o un penetration test?

Non uno è "meglio" dell'altro: rispondono a domande diverse. Per una copertura ampia, l'igiene periodica e un budget definito conviene il vulnerability assessment. Per dimostrare l'impatto reale su un bersaglio sensibile o prima di un rilascio critico serve il penetration test. Nella maggior parte dei casi, all'inizio, il vulnerability assessment è sufficiente.

Un penetration test include un vulnerability assessment?

Un penetration test include una propria fase di analisi delle vulnerabilità, ma su un perimetro ristretto e mirata all'obiettivo, non enumerativa. Non sostituisce quindi la copertura ampia di un vulnerability assessment autonomo, così come un assessment non sostituisce la prova di sfruttabilità di un penetration test. Per questo l'ordine sensato, quando servono entrambi, è prima l'assessment e poi il test mirato.

Quanto costa un penetration test rispetto a un vulnerability assessment?

Il penetration test costa in genere di più, perché è lavoro manuale e mirato di figure specializzate, e il prezzo dipende dall'ambito. Il vulnerability assessment su perimetro definito parte da un prezzo fisso di €900; su ambiti più ampi si passa a un preventivo a fasi.

Ogni quanto vanno rifatti?

Il vulnerability assessment va ripetuto con regolarità e a ogni cambiamento importante, perché nuove vulnerabilità emergono di continuo. Il penetration test si rifà ai momenti critici: prima di un rilascio importante, dopo modifiche rilevanti o quando un requisito lo richiede.

Come decidere, senza sbagliare investimento

La scelta sbagliata non è scegliere "il peggiore", ma scegliere alla cieca. Il modo più semplice per non sbagliare è partire dalla mappa: un vulnerability assessment su perimetro definito dice dove sono i punti deboli e quali contano davvero, e da lì si capisce se e dove serve andare più a fondo con un penetration test. Il primo passo non è un grande progetto: è uno scoping a scopo e prezzo definiti, un assessment da €900 con il report dei rilievi in ordine di gravità.

Richiedi una valutazione, senza impegno

Per capire nel dettaglio cos'è la verifica da cui conviene partire:

Vulnerability assessment: cos'è, come funziona e quanto costa

Per il servizio dedicato, con il perimetro, cosa comprende e come si parte:

Sicurezza applicativa e GDPR: il servizio, come funziona e come iniziare