Penetration Testing: Guida Completa alla Metodologia (2026)

Il penetration testing è la simulazione autorizzata di un attacco informatico su un sistema, rete o applicazione. L'obiettivo è trovare vulnerabilità reali — non teoriche — prima che lo facciano attori malevoli. Questa guida copre l'intera metodologia professionale.

Tipi di penetration test

Per livello di conoscenza

Black Box Il tester inizia senza alcuna informazione sul sistema. Simula un attaccante esterno che parte da zero. È il tipo più realistico ma anche il più lungo e costoso.

White Box Il tester ha accesso completo a documentazione, architettura, codice sorgente e credenziali. Garantisce la copertura più ampia delle vulnerabilità. Ideale per audit approfonditi.

Grey Box Via di mezzo: il tester ha alcune informazioni (per esempio, credenziali utente base o schema della rete). Simula un dipendente malintenzionato o un attaccante che ha già compromesso un account. Offre il miglior rapporto qualità/prezzo per la maggior parte delle organizzazioni.

Per tipo di target

Tipo	Descrizione	Strumenti chiave
Web Application	Test di app web su OWASP Top 10 e vulnerabilità custom	Burp Suite, OWASP ZAP
Network / Infrastructure	Test di firewall, router, VPN, segmentazione	Nmap, Metasploit, Wireshark
Mobile	Test di app iOS e Android	MobSF, Frida, apktool
Cloud	Test di AWS, Azure, GCP	Scout Suite, Prowler
Social Engineering	Phishing, vishing, pretexting	GoPhish
Physical	Test di sicurezza fisica	Badge cloning, lock picking
Red Team	Operazioni complete multi-vettore	Intera toolchain

Metodologie standard

PTES (Penetration Testing Execution Standard)

Lo standard più diffuso nella comunità. Definisce 7 fasi:

1. Pre-engagement interactions
2. Intelligence gathering
3. Threat modeling
4. Vulnerability analysis
5. Exploitation
6. Post exploitation
7. Reporting

OWASP Testing Guide

Standard di riferimento per il web application testing. Copre le vulnerabilità dell'OWASP Top 10 e molte altre categorie specifiche delle applicazioni web.

NIST SP 800-115

Standard del National Institute of Standards and Technology per il security testing. Molto utilizzato nel settore pubblico e per la conformità normativa.

Le fasi nel dettaglio

1. Pre-engagement

Prima di iniziare qualsiasi attività tecnica:

• Firma del contratto — scope, duration, limitations
• Regole d'ingaggio — cosa si può e non si può fare
• Emergency contacts — a chi rivolgersi se si causa un'interruzione accidentale
• Definizione degli obiettivi — cosa vuole scoprire il cliente

2. Ricognizione

# OSINT passiva
theHarvester -d azienda.it -b google,linkedin
whois azienda.it
amass enum -d azienda.it

# Shodan per asset esposti
shodan search org:"Azienda SRL"

# Google Dorks
site:azienda.it filetype:pdf
site:azienda.it "password" OR "login" OR "admin"

3. Scansione e enumerazione

# Discovery host
nmap -sn 192.168.1.0/24

# Scansione porte e versioni
nmap -sC -sV -p- 192.168.1.100 -oA output

# Web: directory busting
gobuster dir -u https://azienda.it -w /usr/share/wordlists/dirb/common.txt

4. Analisi delle vulnerabilità

Correlazione dei dati raccolti con:

• Database CVE (NVD, Exploit-DB)
• Bulletin dei vendor (Microsoft, Apache, ecc.)
• Ricerca manuale per vulnerabilità di business logic

5. Exploitation

La fase che distingue un pentest da un vulnerability scan: verifica che le vulnerabilità siano effettivamente sfruttabili.

# Esempio con Metasploit
use exploit/multi/handler
set PAYLOAD windows/x64/meterpreter/reverse_tcp
set LHOST 192.168.1.50
run

6. Post-exploitation

Dopo l'accesso iniziale:

• Escalation di privilegi (root/SYSTEM)
• Movimento laterale
• Persistenza (per dimostrare il rischio APT)
• Data exfiltration controllata (per misurare l'impatto)
• Pivot verso altri segmenti di rete

7. Reporting

Il report è il prodotto finale del pentest. Deve includere:

Executive Summary — per il management, senza tecnicismi

• Panoramica dei rischi in termini di business
• Criticità più importanti
• Valutazione complessiva del rischio

Technical Report — per il team tecnico

• Ogni vulnerabilità con: descrizione, CVSS score, prove (screenshot, payload)
• Raccomandazioni di rimedio prioritizzate
• Riferimenti (CVE, CWE, OWASP)

Conformità e penetration testing in Italia

La NIS2 (recepita in Italia) richiede valutazioni periodiche del rischio per gli operatori di infrastrutture critiche. Il pentest è il metodo più concreto per dimostrare tale conformità.

Altri standard che richiedono test periodici:

• PCI-DSS — per chi gestisce pagamenti con carta
• ISO 27001 — standard internazionale per la sicurezza delle informazioni
• DORA — per il settore finanziario (entrato in vigore nel 2025)

Per capire come le vulnerabilità vengono catalogate, leggi la nostra guida su cosa è un CVE. Per iniziare a imparare il penetration testing, esplora i corsi gratuiti di Pentevo Academy.