Penetration test continuo: modelli, frequenza e costi

Il termine descrive un risultato, test che stanno al passo con i cambiamenti, più che un metodo. In pratica ti verrà proposto uno di tre modelli:

• PTaaS (penetration testing as a service). Pentester umani che lavorano tramite una piattaforma: prenoti i test, vedi i risultati man mano che emergono, parli con i tester e ottieni retest entro una finestra. Cobalt, Synack, HackerOne, NetSPI, Bishop Fox e BreachLock vendono questo modello, spesso con automazione e ora agenti AI aggiunti.
• Test continuo autonomo. Software che esegue l'attacco da solo, a calendario, senza un pentester per ogni esecuzione. Ne sono esempi Horizon3.ai NodeZero, Pentera e XBOW, e anche Zero Hunt. Vedi pentest autonomo e agenti AI per il pentest.
• Ibrido. Una piattaforma esegue test automatici o guidati dall'AI in modo continuo e pentester umani verificano i risultati o testano ciò che il software non copre.

I termini vicini si sovrappongono: il continuous automated red teaming (CART) indica di solito la stessa idea applicata alla superficie esterna, e l'Adversarial Exposure Validation di Gartner raggruppa pentest automatizzato e breach and attack simulation.

Se cercavi l'OWASP Continuous Penetration Testing Framework: la pagina del progetto esiste, ma dichiara solo l'intenzione di standardizzare la pratica e il suo repository non cambia dal 2022. Non c'è un documento di framework da seguire.

• Cambiamenti. Ogni nuovo server, regola di firewall, account cloud o rilascio software può aprire un percorso che il report dell'anno scorso non ha mai visto.
• Nuove vulnerabilità. Dispositivi di frontiera, VPN e server di trasferimento file continuano a ricevere CVE critiche sfruttate a pochi giorni dalla divulgazione. Un test a marzo non dice nulla di una CVE pubblicata a giugno.
• Deriva. Le correzioni vengono annullate, le eccezioni temporanee diventano permanenti, le credenziali vengono riutilizzate.
• Prova della correzione. Senza un retest, un ticket chiuso è un'affermazione, non un'evidenza.

Nulla di questo rende inutile il test annuale condotto da persone. Lo rende il controllo in profondità, non l'unico.

La maggior parte delle regole fissa un minimo e aggiunge un'occasione legata ai cambiamenti, ed è a questa che risponde il test continuo:

• PCI DSS v4.0.1, requisito 11.4: penetration test interni ed esterni almeno ogni 12 mesi e dopo ogni aggiornamento o modifica significativa di infrastruttura o applicazioni. Vedi PCI DSS 11.3 e 11.4.
• DORA, art. 24, par. 6: test adeguati almeno annuali su tutti i sistemi e le applicazioni ICT che supportano funzioni essenziali o importanti; l'art. 26 aggiunge il TLPT almeno ogni tre anni per i soggetti individuati. Vedi i test DORA oltre il TLPT.
• NIS2, art. 21, par. 2, lett. f): politiche e procedure per valutare l'efficacia delle misure di gestione del rischio, senza una frequenza. In Italia l'Allegato 2 di ACN chiede ai soggetti essenziali vulnerability assessment e/o penetration test periodici e prima della messa in esercizio. Vedi NIS2: obblighi e scadenze.
• NIST SP 800-53 Rev. 5, CA-8: penetration test con una frequenza definita dall'organizzazione.

Lo schema è uno: una soglia annuale e test dopo le modifiche significative. Se le modifiche arrivano ogni settimana, anche i test devono farlo.

1. 1Superficie d'attacco esterna: ogni settimana. I servizi esposti a internet cambiano più in fretta e vengono attaccati per primi.
2. 2Rete interna e Active Directory: ogni mese, da una posizione di assumed breach con un normale account utente (gray box).
3. 3Dopo ogni modifica significativa: nuova sede, acquisizione, rilascio importante, modifica di firewall o identity provider.
4. 4Dopo una KEV rilevante: testa i sistemi interessati finché la patch è in attesa, e di nuovo dopo. Vedi il playbook sulla finestra di patch d'emergenza KEV.
5. 5Prima della messa in esercizio di un sistema rilevante, come chiedono le regole NIS2 italiane ai soggetti essenziali.
6. 6Dopo ogni correzione: riesegui lo stesso test per chiudere il risultato con un'evidenza.
7. 7Una volta all'anno: un test condotto da persone su logica applicativa, applicazioni su misura e su ciò che la norma riserva a tester qualificati.

I prezzi pubblici sono rari, ma i modelli sono chiari e decidono quanto ti costerà il test continuo:

• Crediti od ore di pentester (PTaaS). Acquisti un pacchetto di tempo di test. Cobalt, per esempio, vende crediti che valgono otto ore di pentest ciascuno. Testare più spesso significa comprare più crediti.
• Abbonamenti per finestra di test. Un numero fisso di test o un periodo di test all'anno, a volte con monitoraggio continuo nel mezzo.
• Licenza annuale (piattaforme autonome). Prezzo per asset, IP o sedi, con esecuzioni illimitate. Qui testare ogni settimana costa quanto testare ogni mese, ed è questo che rende sostenibile una cadenza alta.

Quando confronti le offerte, fai il prezzo della cadenza che ti serve, non di quella della brochure: 52 esecuzioni esterne e 12 interne all'anno, più i retest. Approfondimento in quanto costa il pentest automatizzato.

• Chi o cosa esegue ogni test? Una persona, un software, o un software con una persona che verifica i risultati?
• Cosa significa continuo nel contratto? Esecuzioni al mese, retest inclusi, test dopo le modifiche su richiesta?
• Può testare la rete interna e Active Directory, o solo gli asset esposti a internet?
• Dove finiscono risultati, credenziali ed evidenze? Cloud del fornitore, una regione a tua scelta o i tuoi locali?
• Come viene imposto il perimetro e chi può fermare un test all'istante?
• Quali evidenze accompagnano ogni risultato, e un retest dimostra la correzione?
• Su quali norme sono mappati i report, e ci sono quelle a cui rispondi tu?

La guida alla valutazione trasforma queste domande in un piano di pilota.

Che differenza c'è tra penetration test continuo e PTaaS? Il PTaaS è un modello di consegna: pentester umani su una piattaforma, acquistati in abbonamento. Il penetration test continuo è l'obiettivo di testare con la stessa frequenza dei cambiamenti; il PTaaS è un modo per arrivarci, il software di test autonomo un altro.

Il penetration test continuo è un vulnerability scanning? No. Uno scanner elenca cosa potrebbe essere vulnerabile. Un penetration test, continuo o no, prova a sfruttarlo e a concatenare i risultati in percorsi d'attacco. Vedi vulnerability assessment e penetration test.

Il test continuo sostituisce il pentest annuale? Per ampiezza e frequenza può farlo; per la profondità su logica applicativa e applicazioni su misura, e dove una norma richiede tester qualificati o il TLPT, mantieni un test condotto da persone.

Esiste uno standard per il penetration test continuo? No. Il progetto OWASP con quel nome non ha pubblicato nulla dal 2022. Per le piattaforme autonome, l'OWASP Autonomous Penetration Testing Standard copre perimetro, sicurezza, supervisione umana ed evidenze.

Come fa Zero Hunt il penetration test continuo? Zero Hunt è un red team AI autonomo per reti e infrastrutture su un'appliance on-premise con modelli propri, quindi nessun dato del cliente esce dall'appliance. Le campagne girano una volta o con cadenza giornaliera, settimanale, mensile o personalizzata, in modalità black box o gray box, e un operatore può avviarne una dopo una modifica. Una nuova esecuzione dopo la correzione mostra la chiusura con evidenze firmate. Cinque livelli di autonomia decidono quali azioni aspettano un operatore, il perimetro viene verificato sulle chiamate ai tool e negli script generati e i risultati sono mappati su 34 framework di compliance nel mondo. Zero Hunt non pubblica ancora numeri di benchmark; la sua metodologia di valutazione è in preparazione.