NIST SP 800-115
Pianificazione, esecuzione e documentazione dei test tecnici di sicurezza.
Test di penetrazione
Test di penetrazione delle reti wireless
Una valutazione delle reti wireless e dei controlli sui client autorizzati, condotta in loco o in stretto coordinamento, progettata per ridurre al minimo le interruzioni operative.
Perimetro della valutazione
Cosa viene testato
La copertura definitiva dei test viene concordata durante la definizione dell'ambito ed è limitata ai sistemi per i quali è stata fornita un'autorizzazione scritta.
Configurazione della crittografia e dell'autenticazione
Gestione delle identità aziendali e dei certificati
Separazione tra rete ospiti e rete aziendale
Isolamento dei client ed esposizione agli altri dispositivi
Scenari approvati con punti di accesso non autorizzati
Controlli di gestione e monitoraggio delle reti wireless
Flusso operativo dell'incarico
Controllato dall'autorizzazione al nuovo test.
01
Ambito e autorizzazione
Definisca obiettivi, sistemi approvati, vincoli, finestre di test, contatti e regole di ingaggio.
02
Analisi preliminare
Definisca la superficie di attacco autorizzata, l'architettura, i ruoli utente, gli asset e i criteri di valutazione applicabili.
03
Test controllati
Valutare il perimetro approvato utilizzando metodi manuali e tecnici adeguati all'ambiente.
04
Validazione
Confermare i risultati in sicurezza, eliminare i falsi positivi e determinare l'impatto concreto sul piano tecnico e aziendale.
05
Reportistica
Riceva risultati supportati da evidenze, valutazioni del rischio, una sintesi per la direzione e le priorità di correzione.
06
Revisione degli interventi correttivi
Esamini le azioni correttive proposte e chiarisca le priorità di implementazione con il team di valutazione.
07
Nuovo test
Verifichi le correzioni concordate e registri se ciascuna criticità sottoposta a test è stata risolta, mitigata o rimane aperta.
Riferimenti per la valutazione
Standard e linee guida di settore
OSSTMM
Concetti di test operativi per le comunicazioni wireless e i controlli di accesso.
CIS Controls
Contesto delle misure di salvaguardia per l'infrastruttura di rete e la gestione degli accessi.
Gli standard orientano l'ambito e la copertura dei test. Una valutazione non costituisce di per sé una certificazione né garantisce la conformità.
Reportistica
Cosa riceverà
Ambito wireless rilevato e contesto del segnale
Risultanze convalidate relative all'accesso e all'isolamento
Evidenze di configurazione
Priorità di correzione
Test di verifica in sede facoltativo
Definisca un ambito di test appropriato.
Discuta con DIGITPOL i sistemi, gli obiettivi, il livello di accesso e le evidenze richieste.