Penetration Testing: Guida Completa 2026

1. Cos’è il Penetration Testing

Il penetration testing (abbreviato pentest) è un’attività di sicurezza informatica in cui un professionista autorizzato simula un attacco reale contro un sistema informatico, una rete, un’applicazione web o un’infrastruttura fisica, con l’obiettivo di identificare vulnerabilità prima che vengano sfruttate da attaccanti reali.

La differenza fondamentale rispetto a un attacco informatico vero è il consenso scritto del proprietario: senza di esso, le stesse tecniche costituiscono reato. Il risultato del penetration test è un report dettagliato con vulnerabilità trovate, livello di criticità e raccomandazioni di remediation.

Differenza tra Pentest e Vulnerability Assessment

2. Quadro Legale in Italia sul Penetration Testing

Prima di svolgere qualsiasi attività di penetration testing è essenziale conoscere il contesto normativo italiano. L’accesso non autorizzato a sistemi informatici è reato penale, indipendentemente dall’intenzione.

Principali norme applicabili

Documentazione obbligatoria prima di iniziare

• Letter of Authorization (LoA) — documento firmato dal proprietario del sistema che autorizza l’attività
• Scope document — elenco preciso di IP, domini, applicazioni inclusi nel test
• Rules of Engagement — cosa è consentito fare e cosa no, finestre temporali
• NDA (Non Disclosure Agreement) — accordo di riservatezza sulle vulnerabilità trovate
• Polizza RC professionale — copertura assicurativa per danni accidentali
• Notifica al provider cloud — se i sistemi sono su AWS/Azure/GCP, notifica preventiva obbligatoria

3. Tipologie di Penetration Test

Pentest per tipologia di sistema

4. Le 5 Fasi del Penetration Testing

Un pentest professionale segue una metodologia strutturata. Le fasi standard sono definite dal PTES (Penetration Testing Execution Standard) e dall’OWASP Testing Guide.

Fase 1 — Reconnaissance (Ricognizione)

La fase di ricognizione consiste nella raccolta di informazioni sul target prima di interagire con i suoi sistemi. Si divide in:

Passive Reconnaissance — raccolta da fonti pubbliche senza contattare direttamente i sistemi target (OSINT). Non lascia tracce nei log del target.

Active Reconnaissance — interazione diretta con i sistemi target (port scan, banner grabbing). Può essere rilevata da sistemi di monitoraggio.

# Passive Reconnaissance — esempi comandi
whois target.com                        # Dati registrazione dominio e IP
dig target.com ANY                      # Record DNS completi (A, MX, NS, TXT)
theHarvester -d target.com -b all      # Email, sottodomini, IP da fonti OSINT
shodan search hostname:target.com      # Dispositivi e porte aperte visibili
amass enum -passive -d target.com      # Enumerazione sottodomini passiva
subfinder -d target.com               # Sottodomini da fonti pubbliche

Fase 2 — Scanning e Enumerazione

Dopo la ricognizione si effettua la scansione attiva per identificare porte aperte, servizi in ascolto, versioni software, configurazioni errate e vulnerabilità note.

# Network scanning con Nmap
nmap -sV -sC -O -p- target.com        # Versioni servizi, script NSE, OS detection
nmap -sU --top-ports 200 target.com   # Scansione porte UDP principali
nmap --script vuln target.com        # Script vulnerabilità noti (CVE)
nmap -sN target.com                  # TCP Null scan (evasione firewall)

# Web application scanning
nikto -h https://target.com          # Scanner vulnerabilità web server
gobuster dir -u https://target.com -w /usr/share/wordlists/dirb/big.txt # Directory bruteforce
ffuf -w wordlist.txt -u https://target.com/FUZZ # Fast web fuzzing
wpscan --url https://target.com --enumerate vp # WordPress vulnerability scan

Fase 3 — Exploitation

Il tester tenta di sfruttare le vulnerabilità identificate per dimostrare l’impatto reale. Ogni azione deve essere documentata con timestamp preciso e deve rispettare le rules of engagement concordate.

# Esempi exploitation con Metasploit Framework
msfconsole
msf6> search type:exploit name:eternalblue
msf6> use exploit/windows/smb/ms17_010_eternalblue
msf6> set RHOSTS target.com
msf6> run

# SQL Injection con SQLMap
sqlmap -u "https://target.com/page?id=1" --dbs --batch
sqlmap -u "https://target.com/page?id=1" -D dbname --tables

# XSS e web testing con Burp Suite (GUI)
# Avviare Burp Suite, configurare proxy browser, intercettare richieste

Fase 4 — Post-Exploitation e Lateral Movement

Dopo aver ottenuto accesso a un sistema, si valuta quanto è possibile espandere il controllo all’interno della rete, quali dati sensibili sono raggiungibili e quale sarebbe il danno reale di un attaccante.

# Privilege escalation su Linux
sudo -l                              # Comandi sudo disponibili
find / -perm -u=s -type f 2>/dev/null # File con SUID bit
linpeas.sh                           # Script automatico privilege escalation Linux

# Privilege escalation su Windows
winpeas.exe                          # Script automatico Windows
powershell Get-LocalGroupMember -Group Administrators

# Lateral movement con Impacket
psexec.py domain/user:pass@target    # Esecuzione comandi remoti
secretsdump.py domain/user:pass@target # Dump credenziali

Fase 5 — Reporting

Il report finale è il deliverable più importante. Un report professionale include:

• Executive Summary — sintesi non tecnica per il management con business impact
• Metodologia — approccio usato, scope, date, tester coinvolti
• Vulnerabilità trovate — descrizione, CVSS score, categoria (OWASP/CVE)
• Proof of Concept — screenshot o video che dimostrano la vulnerabilità
• Impatto potenziale — cosa potrebbe fare un attaccante reale
• Remediation — come correggere ogni vulnerabilità
• Roadmap prioritizzata — ordine degli interventi per gravità
• Retest — verifica delle correzioni implementate

5. Strumenti e Tool: Lista Completa Penetration Testing

Di seguito la lista completa degli strumenti più usati nel penetration testing, organizzati per categoria. La maggior parte è inclusa in Kali Linux, la distribuzione Linux standard per il pentest.

Reconnaissance e OSINT

Scanning e Enumerazione

Web Application Penetration Testing

Exploitation Framework

Password Cracking e Brute Force

Post-Exploitation e Privilege Escalation

Wireless e Mobile

Sniffing, Traffic Analysis e MITM

Social Engineering

Distribuzioni Linux Specializzate

6. Come Praticare Legalmente il Penetration Testing

Per acquisire competenze nel penetration testing è fondamentale esercitarsi in ambienti controllati e legali. Esistono numerose piattaforme dedicate:

Piattaforme Online

Ambienti in Locale

7. Come Commissionare un Penetration Testing

Se sei un’azienda che vuole commissionare un penetration test, ecco come valutare un fornitore:

✅ Segnali positivi — cosa deve avere un buon fornitore

• Esperienza documentata con referenze verificabili nel settore
• Fornisce Letter of Authorization e scope document prima di iniziare
• Metodologia documentata (PTES, OWASP, NIST)
• Polizza RC professionale attiva
• Team certificato (OSCP, CEH, GPEN o equivalenti)
• Report professionale con executive summary e remediation plan
• Retest incluso o disponibile dopo le correzioni
• NDA firmato prima di ricevere qualsiasi informazione sul sistema

❌ Segnali d’allarme — cosa evitare

• Non fornisce documentazione contrattuale prima di iniziare
• Scope indefinito o dichiarazioni vaghe tipo “testeremo tutto”
• Prezzi troppo bassi (spesso = vulnerability scan automatizzato, non vero pentest)
• Nessuna referenza verificabile o casi studio precedenti
• Non menziona metodologie standard (OWASP, PTES, NIST)
• Report consegnato solo in formato verbale

8. Certificazioni Riconosciute Penetration Testing

9. Domande Frequenti Penetration Testing