Glossario Offensive Security e Pentest

Tattica ATT&CK (TA0001): tecniche usate per ottenere il primo punto d'ingresso in una rete bersaglio, come phishing, sfruttamento di servizi esposti o abuso di credenziali valide.

Simulazione realistica delle tecniche, tattiche e procedure di uno specifico gruppo di attaccanti (threat actor), usata per verificare se le difese aziendali sarebbero in grado di rilevare o bloccare il suo comportamento reale.

Attacco Kerberos (ATT&CK T1558.004) contro account con pre-autenticazione disabilitata: l'attaccante ottiene la risposta AS-REP cifrata con l'hash della password e la sottopone a cracking offline.

Attacco adversary-in-the-middle (ATT&CK T1557.001) in cui l'attaccante risponde alle richieste di risoluzione nomi LLMNR e NBT-NS fingendosi l'host cercato, così da intercettare gli hash NTLMv2 delle vittime.

Tecnica di ingegneria sociale che sfrutta un'esca allettante, fisica (chiavette USB abbandonate) o digitale (finti premi e download), per spingere la vittima ad azioni che compromettono la sicurezza.

Tecnica di ricognizione che raccoglie i banner restituiti dai servizi di rete per identificare tipo e versione del software e del sistema operativo del bersaglio, in modalità attiva o passiva.

Shell remota in cui il programma malevolo apre una porta in ascolto sul sistema bersaglio e attende la connessione dell'attaccante; opposta alla reverse shell, che si connette invece verso l'esterno.

Gruppo di specialisti dedicato alla difesa di infrastrutture e sistemi. Nelle esercitazioni lavora in opposizione al Red Team, che simula gli attacchi.

Classe di vulnerabilità in cui i controlli sugli accessi non funzionano correttamente, consentendo agli utenti di visualizzare o modificare risorse non autorizzate.

Vulnerabilità in cui un programma scrive più dati di quanti un'area di memoria possa contenerne, sovrascrivendo zone adiacenti. Se sfruttata, può alterare il flusso di esecuzione e portare all'esecuzione di codice arbitrario.

Programma con cui un'organizzazione premia chi segnala in modo responsabile vulnerabilità nei suoi sistemi. Trasforma la ricerca di falle in una collaborazione regolata.

Tecnica (ATT&CK T1548.002) che sfrutta programmi o oggetti Windows con auto-elevazione per ottenere privilegi elevati eludendo la richiesta di conferma del Controllo Account Utente (UAC).

Competizione di sicurezza in cui i partecipanti trovano stringhe nascoste (flag) risolvendo sfide su sistemi volutamente vulnerabili; formati principali jeopardy e attacco/difesa, a scopo formativo o competitivo.

Attacco che sovrappone elementi grafici trasparenti o ingannevoli, inducendo l'utente a cliccare su pulsanti o link diversi da quelli percepiti.

Categoria di attacchi in cui un input malevolo viene interpretato dal sistema come codice eseguibile, permettendo all'attaccante di manipolare funzioni o ottenere accessi non autorizzati.

Tecnica d'attacco che sfrutta input non validati per far eseguire all'applicazione comandi di sistema. L'attaccante interagisce così con la shell dell'host estendendo le funzioni previste dal software, senza dover introdurre codice aggiuntivo.

Attacco che sfrutta credenziali rubate da altri servizi, provandole in modo automatizzato su numerosi siti nella speranza che gli utenti riutilizzino le stesse password.

Tecnica che induce un utente autenticato a eseguire azioni non volute su un servizio, sfruttando la fiducia del server nei confronti della sessione dell'utente.

Archivio pubblico che raccoglie vulnerabilità note e falle di sicurezza. È gestito da MITRE e finanziato da enti governativi statunitensi, con l'obiettivo di fornire identificatori univoci e standardizzati per le vulnerabilità software.

Standard per assegnare un punteggio di gravità alle vulnerabilità, da 0 a 10. Aiuta a stabilire quali falle correggere per prime in base all'impatto.

Attacco ad Active Directory (ATT&CK T1003.006) in cui l'attaccante abusa dell'API di replica di un domain controller per farsi inviare gli hash delle password, incluso quello dell'account KRBTGT.

Attacco che indovina una password confrontandola con un elenco di parole e combinazioni comuni. È più rapido della forza bruta perché parte da candidati probabili.

Tecnica che sfrutta input manipolati per accedere a file o directory al di fuori del percorso previsto dall'applicazione, esponendo file sensibili del sistema.

Variante del brute force classico che distribuisce i tentativi di accesso su molti indirizzi IP o nodi, riducendo la possibilità di rilevamento e blocco automatico.

Processo in cui chi scopre una vulnerabilità la segnala in modo riservato al fornitore e ne ritarda la divulgazione pubblica finché non è disponibile una correzione, riducendo i rischi per gli utenti.

Tecnica (ATT&CK T1574.001/002) in cui l'attaccante colloca una libreria malevola in un percorso privilegiato dall'ordine di ricerca di Windows, così un programma legittimo la carica al posto di quella autentica.

Tecnica (ATT&CK T1071.004) che incapsula dati o comunicazioni C2 dentro query e risposte DNS, sfruttando un protocollo quasi sempre consentito per aggirare i controlli ed esfiltrare informazioni.

Tecnica di offuscamento (ATT&CK T1090.004) che nasconde la reale destinazione del traffico HTTPS usando un dominio innocuo nel campo SNI e quello reale nell'header Host, sfruttando una CDN condivisa.

Tecnica ATT&CK (T1003) di estrazione di credenziali (password, hash, ticket) dalla memoria, dal registro o da archivi del sistema operativo, per riuso immediato o cracking offline.

Tecnica di raccolta informazioni che consiste nel frugare tra rifiuti e materiali scartati (documenti, supporti, etichette) per recuperare dati utili a impersonificazione o attacchi successivi.

Tattica ATT&CK (TA0005) che raggruppa le tecniche con cui l'attaccante evita il rilevamento: disattivare strumenti di sicurezza, offuscare payload, cancellare log e mimetizzare l'attività tra processi legittimi.

Fase in cui l'attaccante interroga attivamente i sistemi individuati per estrarre dettagli come utenti, condivisioni, servizi e versioni. Trasforma una panoramica generica in un elenco concreto di potenziali punti deboli da sfruttare.

Trasferimento non autorizzato di dati da un sistema o una rete verso l'esterno, sotto controllo dell'attaccante; in ATT&CK è la tattica TA0010, spesso mascherata dentro traffico legittimo o canali cifrati.

Codice o sequenza di azioni che sfrutta una specifica vulnerabilità per ottenere un comportamento non previsto, come l'esecuzione di codice o l'elevazione dei privilegi. Rappresenta lo strumento con cui una debolezza teorica diventa una compromissione concreta.

Toolkit automatizzato che sonda browser e plugin della vittima alla ricerca di vulnerabilità note e, trovatane una, la sfrutta per installare malware, tipicamente tramite siti compromessi o drive-by download.

Fase preliminare di un attacco in cui si raccolgono informazioni sull'infrastruttura del bersaglio: domini, indirizzi IP, tecnologie e persone. Costruisce la mappa che orienta le fasi successive di scansione e attacco.

Tecnica che inserisce codice malevolo nei form di pagamento online per intercettare dati di carte e informazioni immesse dagli utenti.

Tecnica di test automatizzato che inserisce input casuali o non validi in un software per individuare bug, crash e vulnerabilità sfruttabili.

Attacco Kerberos (ATT&CK T1558.001) in cui, ottenuto l'hash dell'account KRBTGT, l'attaccante forgia ticket TGT arbitrari e valida l'identità di qualunque utente del dominio Active Directory.

Uso di operatori di ricerca avanzati per individuare file, credenziali o pagine sensibili esposti inavvertitamente online; tecnica di ricognizione passiva riconosciuta dalla OWASP WSTG.

Tecnica che sfrutta le differenze con cui front-end e back-end interpretano i confini delle richieste HTTP, permettendo di iniettare richieste nascoste, avvelenare cache o aggirare controlli d'accesso.

Local File Inclusion: vulnerabilità web in cui un input non validato consente di includere ed eseguire file già presenti sul server, spesso sfruttando sequenze di attraversamento come ../ per leggere file sensibili.

Remote File Inclusion: vulnerabilità web in cui un parametro non validato permette di includere un file da una risorsa remota controllata dall'attaccante, portando spesso a esecuzione di codice sul server.

Tecnica ATT&CK (T1055) di esecuzione di codice arbitrario nello spazio di memoria di un processo legittimo attivo, per eludere le difese basate sui processi ed eventualmente elevare i privilegi.

Vulnerabilità che permette di manipolare oggetti serializzati per alterare lo stato dell'applicazione, eseguire codice o aggirare controlli di sicurezza.

Errore applicativo che espone riferimenti diretti a risorse interne, permettendo a un utente di accedere a dati altrui modificando parametri come ID o percorsi.

Attacco ad Active Directory (ATT&CK T1558.003) in cui, richiesto un ticket di servizio Kerberos cifrato con RC4, l'hash viene estratto e sottoposto a cracking offline per recuperare la password dell'account di servizio.

Insieme di tecniche con cui un attaccante, dopo l'accesso iniziale, si sposta da un sistema compromesso ad altri nella rete per estendere il controllo, cercare dati sensibili e avvicinarsi ai propri obiettivi restando inosservato.

Vulnerabilità che si verifica quando un'applicazione lega automaticamente input non filtrati a proprietà interne dell'oggetto, permettendo di modificare campi sensibili non previsti dallo sviluppatore.

Tecnica che intercetta un'autenticazione NTLM e la inoltra a un altro servizio per autenticarsi come la vittima senza craccarne l'hash; spesso combinata con l'avvelenamento della risoluzione dei nomi.

L'applicazione inoltra l'utente verso un URL preso da un parametro non controllato; sfruttato in catene di phishing per far apparire legittimo il dominio di partenza e aggirare controlli sul dominio.

Open Source Intelligence: raccolta di informazioni da fonti pubblicamente accessibili, come siti, social e registri. In sicurezza offensiva serve a profilare un bersaglio nella fase iniziale, senza interagire direttamente coi suoi sistemi.

Metodologia di test di sicurezza orientata alle metriche, che misura la superficie di attacco su più canali (fisico, wireless, reti dati) e produce un punteggio quantitativo detto RAV.

Classifica dei dieci rischi più critici nelle applicazioni web, aggiornata periodicamente e utilizzata come riferimento globale per lo sviluppo sicuro.

Attacco in cui si riutilizza direttamente l'hash di una password, anziché la password in chiaro, per autenticarsi. Sfrutta il modo in cui alcuni sistemi gestiscono le credenziali.

Tecnica (ATT&CK T1550.003) in cui l'attaccante ruba o riutilizza ticket Kerberos validi per autenticarsi verso altri sistemi impersonando l'utente, senza conoscerne la password.

Processo di recupero delle password a partire dai loro valori cifrati o sottoposti a hash, tramite forza bruta, dizionari o tabelle precalcolate. La sua fattibilità dipende dalla robustezza dell'algoritmo e dalla complessità della password.

Attacco che prova poche password comuni su molti account diversi, per evitare i blocchi legati a ripetuti tentativi falliti sullo stesso utente.

In ambito offensivo, la porzione di codice che viene eseguita sul sistema bersaglio dopo lo sfruttamento di una vulnerabilità e che ne determina l'effetto, ad esempio aprire una shell. Più in generale indica i dati utili trasportati in un pacchetto.

Valutazione di sicurezza autorizzata in cui si simula un attacco reale a sistemi, reti o applicazioni per individuare e sfruttare vulnerabilità prima che lo facciano attori malevoli. Si conclude con un report che documenta le falle trovate e le raccomandazioni per correggerle.

Valutazione di sicurezza autorizzata in cui si simula un attacco reale a sistemi, reti o applicazioni per individuare e sfruttare vulnerabilità prima che lo facciano attori malevoli. Si conclude con un report che documenta le falle trovate e le raccomandazioni per correggerle.

Tattica ATT&CK (TA0003): insieme di tecniche con cui l'attaccante mantiene nel tempo l'accesso a un sistema compromesso, resistendo a riavvii o cambi di credenziali tramite servizi, chiavi di avvio o account creati ad hoc.

Tecnica con cui l'attaccante, dopo aver compromesso un sistema, lo usa come trampolino per raggiungere altre macchine altrimenti irraggiungibili. Consente di muoversi in profondità nella rete interna sfruttando la fiducia tra host.

Tecnica che sonda un sistema per scoprire quali porte di rete sono aperte e quali servizi vi rispondono. È un passo fondamentale della ricognizione, perché ogni servizio esposto è una possibile via d'ingresso da valutare.

Fase del penetration test successiva alla compromissione iniziale, in cui il tester consolida l'accesso, valuta il valore del sistema violato, raccoglie informazioni e prepara movimento laterale o esfiltrazione.

Modello MITRE, oggi confluito nelle tattiche PRE di ATT&CK, che cataloga le attività preparatorie svolte dall'attaccante prima dell'accesso: ricognizione e sviluppo di risorse e infrastrutture.

Tecnica di ingegneria sociale in cui l'attaccante costruisce uno scenario o un'identità falsa credibile per guadagnare fiducia e indurre la vittima a rivelare informazioni o concedere accessi.

Tecnica con cui un attaccante, partito da un accesso limitato, ottiene permessi più elevati sfruttando configurazioni errate o vulnerabilità. Può essere verticale, verso privilegi amministrativi, o orizzontale, verso le risorse di un altro utente con pari livello.

Sottotecnica di iniezione di processo (ATT&CK T1055.012): si crea un processo legittimo in stato sospeso, se ne svuota la memoria e la si sostituisce con codice malevolo prima di riprenderne l'esecuzione.

Vulnerabilità di JavaScript in cui l'attaccante altera il prototipo degli oggetti (Object.prototype) iniettando proprietà, con effetti che vanno da negazione di servizio fino all'esecuzione di codice.

Metodologia che struttura un penetration test in sette fasi, dal pre-ingaggio e raccolta informazioni fino a sfruttamento, post-sfruttamento e reportistica, fornendo un percorso di esecuzione condiviso.

Approccio collaborativo che unisce il team offensivo (red) e quello difensivo (blue) per migliorare rilevamento e risposta in modo iterativo. Più che un gruppo fisso, è una modalità di lavoro che fa dialogare attacco e difesa.

Tabella precompilata che associa hash alle password corrispondenti, usata per invertire rapidamente un hash rubato. L'uso del salt nelle password la rende inefficace.

Fase iniziale di un attacco o di un test in cui si raccolgono informazioni sul bersaglio, come domini, indirizzi, servizi esposti e dipendenti. Può essere passiva, senza contatto diretto col bersaglio, o attiva tramite scansioni; orienta le fasi successive dell'operazione.

Gruppo che simula avversari reali per mettere alla prova, con tecniche e obiettivi realistici, le difese di un'organizzazione nel suo complesso, incluse persone e processi. A differenza di un pentest circoscritto, punta a valutare la capacità di rilevamento e risposta.

Documento concordato prima di un penetration test che definisce ambito, sistemi autorizzati, tempistiche, tecniche ammesse e limiti operativi, così da svolgere l'attività in modo legale e controllato.

Vulnerabilità che consente a un attaccante di eseguire codice a piacere su un sistema remoto. È tra le più gravi, perché apre la strada al controllo completo della macchina bersaglio senza accesso fisico o credenziali valide.

Tecnica di sfruttamento che concatena brevi frammenti di codice già presenti in memoria (gadget terminanti con return) per eseguire operazioni arbitrarie aggirando le protezioni contro l'esecuzione dei dati.

Tecnica in cui il sistema compromesso apre esso stesso una connessione verso l'attaccante, che ottiene così una shell di comando. Aggira molti firewall, perché la connessione parte dall'interno verso l'esterno.

Livello di permessi che concede il controllo totale del sistema, consentendo modifiche strutturali e operazioni riservate agli amministratori.

Attività che consiste nel recuperare informazioni sensibili frugando nei rifiuti di un individuo o di un'azienda, pratica nota anche come dumpster diving.

Vulnerabilità in cui un input dell'utente viene interpretato dal motore di template lato server, consentendo l'esecuzione di espressioni o codice e talvolta la compromissione completa del server.

Tecnica che punta a prendere controllo di una sessione utente già autenticata, ad esempio rubando cookie o token di sessione per agire al posto della vittima.

Piccola sequenza di istruzioni, spesso in linguaggio assembly, usata come payload nello sfruttamento di una vulnerabilità (es. buffer overflow) per eseguire codice arbitrario sul sistema bersaglio.

Attacco che non mira direttamente al protocollo crittografico, ma sfrutta informazioni collaterali come consumi energetici, tempi di risposta o emissioni elettromagnetiche per ricavare segreti.

Attacco Kerberos (ATT&CK T1558.002) in cui, ottenuto l'hash di un account di servizio, l'attaccante forgia un ticket di servizio (TGS) valido per una risorsa specifica, senza contattare il domain controller.

Attacco che inserisce comandi SQL malevoli in campi di input non protetti, permettendo accesso o manipolazione non autorizzata dei dati.

Attacco in cui un'applicazione vulnerabile viene indotta a effettuare richieste verso destinazioni scelte dall'attaccante, spesso servizi interni o endpoint di metadati cloud non esposti al pubblico.

Compromissione di fornitori, terze parti o componenti esterni per introdurre malware o backdoor nei sistemi del vero bersaglio finale.

Tecnica di intrusione fisica in cui l'attaccante segue da vicino una persona autorizzata per oltrepassare una porta o un varco controllato senza credenziali proprie; detta anche piggybacking.

Tre approcci al penetration test in base alle informazioni fornite al tester: nessuna (black box, attaccante esterno), complete comprese le fonti (white box), parziali come credenziali o URL (gray box).

Punto debole di un sistema che, se sfruttato, permette a un attaccante di compromettere dati, funzionalità o integrità del sistema stesso.

Analisi automatizzata che confronta i sistemi con database di vulnerabilità note per segnalare debolezze e configurazioni errate. Fornisce un quadro rapido, da validare poi manualmente per distinguere i rischi reali dai falsi positivi.

Attacco che manipola una cache web affinché memorizzi e distribuisca a più utenti una risposta malevola, sfruttando input non gestiti nella chiave di cache o difetti dell'applicazione.

Script malevolo caricato su un server web compromesso che offre all'attaccante un'interfaccia per eseguire comandi da remoto. Trasforma il server in un punto d'appoggio persistente per esplorare la rete e mantenere l'accesso.

Variante mirata di spear phishing rivolta a dirigenti di alto livello (CEO, CFO), con messaggi molto curati per far autorizzare bonifici fraudolenti o divulgare dati sensibili dell'organizzazione.

Gruppo che supervisiona esercitazioni di sicurezza basate sul confronto tra Red Team e Blue Team, garantendo il corretto svolgimento e valutando gli esiti.

Vulnerabilità dei parser XML mal configurati che permette di riferire entità esterne, portando a lettura di file locali, richieste interne o negazione del servizio. Nasce dall'elaborare input XML non fidato senza disabilitare le entità.

Famiglia di attacchi in cui uno script malevolo viene eseguito nel browser della vittima; può essere memorizzato nel sistema (stored) o riflesso tramite input non validati (reflected).

Vulnerabilità sconosciuta al fornitore e priva di correzione disponibile, che gli attaccanti possono sfruttare prima che esista una patch. Il nome indica che lo sviluppatore ha avuto zero giorni per rimediare, il che la rende un rischio critico.