Vulnerability assessment white box, gray box o black box

Quando un'azienda decide di svolgere un vulnerability assessment, una delle prime scelte riguarda la modalità: white box, gray box o black box. Termini apparentemente tecnici, con una sostanza semplice: indicano quante informazioni l'azienda fornisce prima dell'avvio delle attività.

La scelta cambia il punto di vista dell'analisi, la profondità dei risultati e il tipo di domande a cui il vulnerability assessment risponde.

White box: analisi con documentazione completa

Nella modalità white box l'azienda fornisce la documentazione sull'infrastruttura: topologia di rete, configurazioni, inventari degli asset, politiche di sicurezza.

Partendo da queste informazioni è possibile:

• confrontare quanto documentato con quanto realmente in funzione;
• individuare configurazioni deboli non visibili dall'esterno;
• coprire il perimetro in modo completo, senza dedicare tempo a ricostruirlo;
• verificare che le politiche risultino applicate sui sistemi.

Quando sceglierlo: quando l'obiettivo è la copertura più ampia possibile. È la scelta naturale in preparazione di un assessment TISAX®, di un percorso NIS 2 o di un sistema ISO/IEC 27001, dove conta conoscere la situazione reale e non solo ciò che vede un estraneo.

Limite: non simula il punto di vista di un attaccante esterno, privo di queste informazioni.

Gray box: documentazione parziale e analisi autonoma

Nel gray box l'azienda fornisce una parte della documentazione, integrata da un'analisi autonoma. Si uniscono così due prospettive: la conoscenza interna dell'infrastruttura e la ricerca indipendente di ciò che risulta visibile ed esposto.

Quando sceglierlo: è spesso il compromesso più equilibrato per una PMI. Offre una buona copertura e mostra al tempo stesso cosa riesce a scoprire chi dispone di informazioni limitate. È utile anche quando la documentazione interna esiste ma risulta incompleta o non aggiornata, circostanza piuttosto comune.

Limite: il risultato dipende dalla qualità delle informazioni condivise; per questo va concordato con precisione, in partenza, cosa viene fornito e cosa viene ricostruito.

Black box: nessuna informazione preliminare

Nel black box non viene fornita alcuna informazione. L'analisi parte da zero, come farebbe un attaccante esterno, ricostruendo ciò che risulta raggiungibile ed esposto. Dove concordato, può essere accompagnata da un penetration test per verificare la sfruttabilità delle vulnerabilità individuate.

Quando sceglierlo: quando interessa sapere cosa vede dell'azienda chi non la conosce: esposizione su internet, tenuta delle difese perimetrali, facilità di individuazione dei servizi.

Limite: è la modalità con la copertura meno completa. Un sistema non individuato non viene analizzato, ma questo non significa che sia sicuro.

Anche nel black box l'autorizzazione formale scritta e il perimetro concordato restano obbligatori: "nessuna informazione" riguarda i dettagli tecnici, non le regole dell'attività.

Confronto sintetico

• White box: documentazione completa, punto di vista interno, copertura massima; indicato per conformità e piano di rientro completo.
• Gray box: documentazione parziale, punto di vista misto, buona copertura; indicato per bilanciare copertura e realismo.
• Black box: nessuna informazione, punto di vista dell'attaccante esterno, copertura limitata a ciò che risulta individuabile; indicato per misurare l'esposizione esterna.

I criteri di scelta

• L'obiettivo principale. Per conformità o piano di rientro completo è indicato il white box; per misurare l'esposizione esterna, il black box.
• La documentazione disponibile. Se scarsa o datata, il gray box consente di partire comunque e i risultati aiutano anche a sistemare gli inventari.
• La storia delle verifiche. Al primo VA conviene di norma una modalità con informazioni; nei cicli successivi alternare le modalità offre angolazioni diverse sulla stessa infrastruttura.

Non esiste una modalità migliore in assoluto, ma quella più adatta alla domanda che l'azienda si pone.

Il servizio di General Tech di Rosario Zappalà

Il vulnerability assessment è condotto da Rosario Zappalà, consulente indipendente con competenze Red Team e Blue Team. Qualunque sia la modalità, le fasi restano le stesse: autorizzazione formale scritta del titolare degli asset, definizione del perimetro e raccolta delle informazioni, analisi degli asset, scansioni con strumenti professionali, verifica manuale con riduzione dei falsi positivi, classificazione CVSS v3.1 e analisi del rischio contestualizzata. Su richiesta si aggiungono un'analisi OSINT e un light penetration test su sistemi selezionati.

L'azienda riceve report tecnico con indicazioni di remediation, executive summary per la direzione, calcolo del rischio e una sessione di presentazione dei risultati. Il VA è una valutazione, non una certificazione; per mantenere il controllo nel tempo si consigliano VA periodici, ad esempio semestrali.

Domande frequenti

Il white box è meno realistico del black box?

È diverso, non meno utile. Il black box mostra la prospettiva di un attaccante esterno; il white box mostra le debolezze effettivamente presenti, comprese quelle invisibili dall'esterno ma sfruttabili da chi è già entrato.

Condividere topologia e configurazioni comporta rischi?

È un'esigenza legittima di riservatezza. Vengono concordate modalità di scambio sicure e la documentazione è trattata solo per lo scopo dell'attività. In alternativa si può limitare la condivisione scegliendo il gray box.

La modalità può cambiare tra un VA e il successivo?

Sì, ed è spesso consigliabile: alternare white box e black box nei cicli periodici offre due prospettive complementari.

Serve coinvolgere il fornitore IT esterno?

Se gestisce i sistemi, sì: contribuisce alla raccolta delle informazioni, alla pianificazione ed è il primo destinatario delle indicazioni di remediation.