TesseraPenetration test o scansione automatica: le differenze
Cosa trova ciascuno, quanto costa in tempo e quando conviene l'uno o l'altra.
Ultimo aggiornamento: · Hyperion S.r.l.
La risposta breve
Una scansione automatica di sicurezza usa strumenti che controllano un sito alla ricerca di problemi noti: configurazioni deboli, header mancanti, vulnerabilità pubblicate, file esposti. È rapida, ripetibile e costa poco. Un penetration test è un'attività svolta da persone esperte che cercano di attaccare davvero il sistema, combinando strumenti e ragionamento per trovare anche i problemi che nessuno strumento conosce, come gli errori nella logica dell'applicazione. Richiede giorni e costa molto di più. Non si escludono: la scansione serve a tenere sotto controllo le basi, il penetration test a scoprire quello che la scansione non vede.
Le differenze, punto per punto
| Scansione automatica | Penetration test | |
|---|---|---|
| Chi la esegue | Strumenti automatici | Uno o più tester esperti |
| Durata | Minuti | Da qualche giorno a qualche settimana |
| Cosa trova | Problemi noti e configurazioni deboli | Anche falle nuove, errori di logica, catene di vulnerabilità |
| Aree con login | Di solito no | Sì, con credenziali di prova concordate |
| Logica applicativa | No | Sì, per esempio permessi tra ruoli e flussi di pagamento |
| Falsi positivi | Possibili, da valutare | Ridotti: ogni problema è verificato a mano |
| Frequenza adatta | Ogni mese, dopo ogni modifica importante | Una o due volte l'anno, o prima di un lancio |
| Riferimenti | Strumenti come OWASP ZAP, Nuclei, testssl.sh | Metodologie come PTES, OWASP WSTG, NIST SP 800-115 |
Cosa trova una scansione automatica
- Header di sicurezza HTTP mancanti o deboli, come HSTS e Content-Security-Policy (vedi la guida agli header di sicurezza).
- Configurazione TLS: protocolli obsoleti come TLS 1.0, cifrari deboli, certificati scaduti o non validi.
- Vulnerabilità note e pubblicate di software e componenti riconoscibili dall'esterno.
- File e pannelli esposti per errore: backup, file di configurazione, pagine di amministrazione con credenziali predefinite.
- Debolezze comuni delle applicazioni web che si possono provare in modo automatico.
Cosa resta a un penetration test
- Errori di logica: un utente che vede gli ordini di un altro cambiando un numero nell'indirizzo, uno sconto applicato due volte, un passaggio di un flusso che si può saltare.
- Le aree dietro al login, provate con account di ruoli diversi.
- Catene di problemi minori che insieme diventano gravi.
- La verifica manuale di ogni risultato, con prove concrete di sfruttabilità.
Quale scegliere
Per un sito aziendale, un e-commerce o un'applicazione con pochi ruoli, una scansione automatica regolare copre la maggior parte dei rischi più comuni a un costo contenuto, e aiuta a tenere in ordine le basi tra un intervento e l'altro. Un penetration test diventa necessario quando l'applicazione gestisce dati sensibili o pagamenti, ha molti ruoli e flussi complessi, o quando un cliente, un contratto o una normativa lo richiedono. In quel caso conviene correggere prima i problemi trovati dalla scansione: il tester non perde tempo sulle basi e si concentra su ciò che solo una persona può trovare.
Domande frequenti
Una scansione automatica sostituisce un penetration test?
No. Trova i problemi noti e le configurazioni deboli, ma non gli errori di logica dell'applicazione né le falle nelle aree con login. I due strumenti sono complementari.
Quanto spesso conviene fare una scansione automatica?
Una volta al mese e dopo ogni modifica importante al sito, come un aggiornamento del server, un nuovo plugin o un cambio di hosting.
Una scansione automatica può danneggiare il sito?
Di norma no, ma la parte attiva invia molte richieste di prova in poco tempo e può far scattare allarmi o rallentare un sito fragile. Va eseguita solo su siti propri o con un'autorizzazione scritta.
Il Quick Check di Tessera è un penetration test?
No. È una scansione automatica dall'esterno, senza credenziali e senza verifica manuale, e il report lo dichiara elencando cosa non è stato testato.