Sophos Advisory Services: Security Testing esperto

Con Sophos Advisory Services, Sophos amplia il proprio portfolio di servizi di sicurezza con verifiche proattive. L’idea di base è semplice: un’organizzazione non dovrebbe scoprire solo durante un attacco se il proprio ambiente è davvero resiliente. È meglio un test controllato, in cui tester di sicurezza esperti osservano l’ambiente dal punto di vista di un attaccante, dimostrano le debolezze e forniscono raccomandazioni concrete.

A prima vista sembra un classico penetration test, ed è proprio da lì che Sophos parte. Advisory Services è però più ampio di un singolo “scan”. Include test tecnici, definizione chiara degli obiettivi, finding affidabili, prioritizzazione, report per destinatari tecnici e non tecnici e, per finding critici o elevati, anche la validazione della remediation entro 90 giorni.

La classificazione è importante: Sophos Advisory Services non sostituisce Sophos MDR, non sostituisce Sophos Managed Risk e non è un aiuto di emergenza durante un attacco attivo. È il livello proattivo di consulenza e testing nel mezzo: verificare, capire, prioritizzare, migliorare.

Cosa sono Sophos Advisory Services?

Sophos Advisory Services sono valutazioni di sicurezza condotte da esperti. Sophos le descrive come servizi indipendenti e proattivi di Security Testing, in cui reti, sistemi, applicazioni e, a seconda dell’incarico, anche aspetti organizzativi della sicurezza vengono valutati rispetto a metodi di attacco reali.

Il servizio è erogato dal Sophos Red Team e da altri esperti di sicurezza. La metodologia integra conoscenze provenienti da Sophos X-Ops, attività di Incident Response, Threat Hunting e numerosi progetti di testing. Il test non dovrebbe quindi limitarsi a checklist note, ma considerare anche le tattiche attuali degli attaccanti.

Il valore pratico sta in quattro domande:

• Dove si trovano le debolezze che gli attaccanti potrebbero realmente sfruttare?
• Fin dove potrebbe arrivare un attaccante dall’esterno, internamente, via Wi-Fi o tramite una web application?
• Quali misure tecniche e organizzative riducono maggiormente il rischio?
• Quali risultati possono essere mostrati in modo comprensibile a management, partner, auditor o cyber insurer?

Il risultato non è solo un “passato/non passato”. Un buon test mostra cosa è stato verificato, cosa è stato trovato, quanto è critico un finding, quale impatto realistico può avere e cosa deve cambiare concretamente.

I quattro servizi attualmente disponibili

Al lancio Sophos ha annunciato quattro offerte di Security Testing. Altri Advisory Services potranno seguire, ma questi quattro costituiscono oggi il nucleo.

External Penetration Testing

L’External Penetration Testing valuta l’ambiente dalla prospettiva di un attaccante esterno. Il focus è sui sistemi pubblicamente raggiungibili, come siti web, portali VPN, accessi remoti, infrastruttura e-mail, API, web server, servizi cloud o altri servizi esposti su Internet.

Il test risponde soprattutto a queste domande:

• Quali sistemi sono visibili dall’esterno?
• I servizi sono configurati male o obsoleti?
• Esistono vulnerabilità note sfruttabili?
• È possibile ottenere un primo accesso all’ambiente?
• Quali misure riducono la superficie di attacco esterna?

L’external pentesting è particolarmente utile quando vengono pubblicati nuovi servizi, dopo grandi modifiche infrastrutturali, prima di audit o quando non è chiaro quanto sia ampia la superficie di attacco esterna. Completa anche approcci continui di exposure management come Sophos Managed Risk, ma non li sostituisce. Managed Risk monitora e prioritizza continuamente. Un pentest va più in profondità in un momento specifico e cerca di dimostrare in modo controllato cosa potrebbe ottenere un attaccante.

Internal Penetration Testing

L’Internal Penetration Testing parte dal presupposto che un attaccante sia già nella rete o che un account utente sia stato compromesso. Nella pratica è uno scenario realistico: phishing, credenziali rubate, accessi VPN non sicuri o un client infetto bastano spesso per ottenere un primo punto d’appoggio.

Il test interno verifica ad esempio:

• se la segmentazione funziona davvero,
• se gli accessi privilegiati sono concessi troppo ampiamente,
• se server, client e sistemi di management sono separati,
• se i diritti di amministratore locale possono essere abusati,
• se il lateral movement è possibile,
• se dati sensibili sono raggiungibili da sistemi interni.

Proprio qui spesso emerge la differenza tra architettura su carta e realtà. Una rete può apparire ben segmentata nei diagrammi, ma nella quotidianità essere molto più permeabile a causa di eccezioni, sistemi legacy, porte di management aperte o permessi deboli. I test interni sono quindi un buon reality check per progetti Zero Trust, segmentazione e hardening.

Wireless Network Penetration Testing

Il Wireless Network Penetration Testing valuta la sicurezza Wi-Fi. Sophos distingue tra verifiche passive e attive.

Una verifica passiva osserva il traffico radio e cerca problemi come rogue access point, SSID inattesi, cifratura debole, configurazioni errate o dispositivi che non rientrano nel modello di sicurezza. Una verifica attiva va oltre e simula tentativi di attacco, ad esempio contro autenticazione, cifratura o controlli di accesso.

Domande tipiche:

• Wi-Fi aziendale, Wi-Fi guest e reti interne sono separati correttamente?
• Vengono usati metodi di autenticazione robusti?
• Esistono access point indesiderati o dispositivi configurati male?
• Un attaccante può aggirare i controlli di protezione?
• La configurazione Wi-Fi rispetta le policy di sicurezza interne?

Il Wi-Fi viene sottovalutato in molti ambienti perché è visto “solo” come livello di accesso. In realtà è spesso un ponte diretto verso reti interne. Un test wireless è particolarmente utile in uffici con aree sensibili, siti produttivi, istituti formativi, sanità, retail o ambienti con molti ospiti e dispositivi mobili.

Web Application Security Assessment

Il Web Application Security Assessment verifica le web application alla ricerca di problemi di sicurezza. Rientrano vulnerabilità classiche come SQL Injection, Cross-Site Scripting, autenticazione difettosa, Broken Access Control, Security Misconfiguration, gestione insicura delle sessioni o problemi di design dell’applicazione.

Sophos descrive due prospettive possibili:

• Black-box Testing: il tester non riceve informazioni interne e verifica l’applicazione come un attaccante esterno.
• White-box Testing: il tester riceve accesso a codice sorgente, informazioni di architettura o documentazione tecnica e può quindi testare più in profondità.

La variante giusta dipende dall’obiettivo. Se si vuole sapere cosa può ottenere un attaccante esterno senza conoscenze preliminari, il Black-box Testing è adatto. Se una nuova applicazione deve essere verificata a fondo prima del go-live, il White-box Testing è spesso più utile, perché rende visibili anche problemi strutturali nel codice o nel design.

I Web Application Assessment sono particolarmente rilevanti per portali clienti, shop, strumenti web interni, API, portali partner, aree di login e applicazioni con dati personali o business-critical.

Come si svolge tipicamente un engagement Advisory

Un buon test di sicurezza non inizia dagli strumenti, ma da scope e obiettivo. Sophos lo sottolinea anche per Advisory Services: i test devono essere goal-based e valutare i sistemi nel contesto dell’ambiente.

1. Definire obiettivo e scope

Prima del test deve essere chiaro cosa verrà verificato e cosa no. Questo include:

• sistemi target, domini, range IP, applicazioni o sedi,
• tipi di test consentiti e azioni escluse,
• finestre temporali e finestre di manutenzione,
• referenti per domande tecniche e di business,
• percorsi di escalation per finding critici o problemi operativi,
• account di test e accessi necessari,
• gestione dei dati di produzione.

Questa fase è importante perché il Security Testing può sempre avere un effetto. Un test attivo contro Wi-Fi, una web application o una rete interna non deve impattare le operazioni in modo incontrollato. Più scope e regole sono definiti, più utile e sicuro sarà il risultato.

2. Eseguire il test

Durante la fase di test gli esperti di sicurezza lavorano con una combinazione di analisi manuale, tooling, esperienza e informazioni aggiornate di Threat Intelligence. La differenza rispetto a un puro vulnerability scan è che i finding non vengono solo segnalati, ma anche contestualizzati e, se possibile, validati.

Uno scanner può dire: “Qui potrebbe esistere una vulnerabilità.” Un buon pentest risponde anche: “È sfruttabile? A quali condizioni? Fin dove si arriva? Qual è l’impatto reale? Quale misura aiuta davvero?”

3. Documentare i risultati

Al termine Sophos fornisce un report. Secondo Sophos, è destinato a interlocutori tecnici e non tecnici. Questo è importante perché un report puramente tecnico spesso non aiuta il management, mentre un report solo manageriale è troppo poco concreto per gli admin.

Un report utile dovrebbe quindi contenere almeno:

• sintesi per management e responsabili del rischio,
• finding tecnici con evidenze,
• severità e impatto realistico,
• sistemi interessati e scope testato,
• raccomandazioni prioritizzate,
• passaggi concreti di remediation,
• indicazioni su correzioni rapide e miglioramenti strutturali.

La prioritizzazione è decisiva. Molte aziende hanno più finding che tempo. Un buon report aiuta a correggere per prime le vulnerabilità realmente sfruttabili, esposte o critiche per il business.

4. Validare finding critici e alti

Un punto utile sulla pagina Sophos è la Remediation Validation: per finding critici o ad alta severità corretti è inclusa una validazione entro 90 giorni. È pratico, perché non produce solo un PDF ma un vero ciclo di controllo.

Per l’operatività significa che i finding critici e alti dovrebbero essere rapidamente trasformati in ticket, assegnati a un owner e ricontrollati dopo la correzione. Altrimenti il test resta una fotografia senza effetto duraturo.

Differenza rispetto a MDR, Managed Risk e Incident Response

Sophos ha ormai diversi servizi di sicurezza con nomi che si possono confondere facilmente. Le differenze però sono importanti.

Advisory Services vs. Sophos MDR

Sophos MDR è un servizio continuo di Managed Detection and Response. Gli analisti monitorano segnali, rilevano minacce e reagiscono ad attacchi attivi o comportamenti sospetti in base al modello concordato.

Advisory Services sono invece test e assessment basati su progetto. Verificano se controlli, applicazioni, reti o Wi-Fi sono attaccabili. MDR osserva continuamente le minacce attive. Advisory Services valuta quanto è preparata la difesa.

Advisory Services vs. Sophos Managed Risk

Sophos Managed Risk è un servizio continuo di gestione delle vulnerabilità e della superficie di attacco. Identifica asset esterni, valuta rischi, prioritizza vulnerabilità e aiuta a ridurre nel tempo le superfici di attacco aperte.

Advisory Services opera diversamente: sono verifiche limitate nel tempo, manuali o fortemente supportate da esperti. Un external pentest può ad esempio validare fin dove un attaccante potrebbe arrivare davvero. Managed Risk fornisce la vista continua della superficie di attacco. Le due cose si completano bene.

Advisory Services vs. Compromise Assessment

Un Sophos Compromise Assessment risponde a una domanda diversa: l’ambiente è già compromesso o ci sono segnali di un attacco in corso o passato?

Advisory Services chiede invece: dove potrebbe riuscire un attacco se qualcuno ci provasse? Si tratta quindi di prevenzione e resilienza, non principalmente di ricerca forense di attaccanti già attivi.

Advisory Services vs. Emergency Incident Response

Se un’azienda è sotto attacco in questo momento, un penetration test non è il punto di partenza giusto. Servono Incident Response, contenimento, analisi e ripristino. Advisory Services è pensato per la fase precedente o successiva: prima di un attacco per ridurre il rischio, dopo una stabilizzazione per migliorare la struttura.

Quando conviene Sophos Advisory Services

Advisory Services è particolarmente utile quando un’organizzazione non vuole solo “più sicurezza”, ma deve rispondere a domande concrete.

Prima del go-live o dopo grandi modifiche

Nuove web application, una nuova architettura VPN, nuovi servizi cloud, un nuovo concetto Wi-Fi o una segmentazione di rete più ampia non dovrebbero mostrare le proprie debolezze solo in produzione. Un assessment mirato prima del go-live può evitare molto rework costoso.

Prima di audit, certificazioni o cyber insurance

Molti requisiti di NIS2, ISO 27001, PCI DSS, SOC 2 o cyber insurance non riguardano solo la presenza di strumenti, ma processi dimostrabili, test e riduzione del rischio. Un engagement Advisory non sostituisce una certificazione, ma può fornire evidenze importanti e miglioramenti concreti. Per il collegamento tra regolamentazione e misure di sicurezza è utile anche l’articolo sulla direttiva NIS 2.

Quando la sicurezza interna è presunta ma non provata

Molti ambienti sembrano stabili finché non vengono testati consapevolmente. I test interni mostrano spesso vecchi diritti admin, reti piatte, porte di management aperte, service account non protetti o segmentazione mancante. Soprattutto dopo anni di crescita organica, questo sguardo esterno sul mondo interno è utile.

Come complemento a MDR, XDR, NDR e protezione firewall

Le tecnologie Detection and Response sono forti, ma non rispondono a ogni domanda di prevenzione. Un’azienda può usare Sophos Firewall NDR Active Threat Intelligence, XDR o MDR e avere comunque debolezze in Wi-Fi, web application o segmentazione interna. Advisory Services aiuta a trovare queste lacune in modo mirato.

Cosa preparare prima di un test

Il Security Testing non è un “facciamolo e basta”. Una buona preparazione decide se il test produce risultati utilizzabili o solo stress.

Chiarire subito

• Quali sistemi e applicazioni rientrano nello scope?
• Quali sistemi non devono essere testati esplicitamente?
• Esistono sistemi produttivi con rischio particolare?
• Quali finestre di manutenzione sono possibili?
• Chi è il referente tecnico?
• Chi può prendere decisioni di rischio?
• Quali log source vengono monitorate durante il test?

Preparare prima del test

• Documentare approvazione del test e autorizzazione legale.
• Creare una lista contatti con numeri di emergenza.
• Verificare backup e ripristinabilità.
• Informare monitoring, SIEM, MDR o SOC del test.
• Fornire account di test con diritti definiti.
• Documentare sistemi target e versioni.
• Coinvolgere i business owner delle applicazioni testate.
• Verificare un eventuale change freeze per sistemi critici.

Rendere operativo dopo il test

• Trasformare i finding in ticket.
• Prioritizzare finding critici e alti.
• Definire owner e scadenza per ogni finding.
• Separare quick win da temi architetturali.
• Documentare la remediation.
• Pianificare la validazione entro la scadenza dei 90 giorni.
• Inserire verifiche ricorrenti nella security roadmap.

Limiti e aspettative realistiche

Sophos Advisory Services può essere molto utile, ma non è una prova magica di sicurezza.

Un test dipende sempre da scope e momento. Ciò che non è nello scope non viene verificato. Ciò che viene pubblicato o modificato dopo il test può creare nuovi rischi. Un report pulito quindi non prova che un ambiente sia “sicuro”. Mostra cosa è stato testato nel quadro concordato e quali rischi sono stati trovati.

Importante anche: il servizio non corregge automaticamente le vulnerabilità. Fornisce finding, prioritizzazione e raccomandazioni. L’implementazione resta compito di IT, sviluppo, team rete, team sicurezza, provider o responsabili applicativi. Proprio per questo un modello di owner dopo il test è così importante.

Bisogna inoltre distinguere tra test passivi e attivi. Un test attivo può caricare sistemi, generare allarmi o causare effetti collaterali inattesi se scope e finestre temporali sono definiti male. Non è un motivo contro il testing, ma è un motivo per prepararlo bene.

La mia valutazione

Trovo Sophos Advisory Services interessante soprattutto perché Sophos amplia il portfolio in una direzione sensata. Molte aziende hanno ormai buoni prodotti di protezione, ma poca realtà verificata. Ci sono Endpoint, Firewall, MDR, backup, policy e forse qualche documento di compliance. La domanda difficile resta: regge se qualcuno testa davvero?

È proprio qui che si inserisce Advisory Services. Il servizio non è monitoraggio quotidiano come MDR e non è vulnerability management continuo come Managed Risk. È il reality check pianificato. Diventa particolarmente prezioso quando i risultati non finiscono in un cassetto, ma vengono tradotti in ticket, decisioni architetturali, progetti di segmentazione e review ricorrenti.

La mia raccomandazione: non considerare Advisory Services come un timbro di audit una tantum. Meglio un piccolo programma: prima verificare la superficie di attacco esterna, poi le web application critiche, quindi movimento interno e Wi-Fi. In parallelo Managed Risk, MDR, logging e review firewall dovrebbero garantire visibilità continua. Così nasce un processo di miglioramento continuo invece di un singolo report.

FAQ

Maggiori informazioni

• Pagina prodotto Sophos Advisory Services
• Blog Sophos: Introducing Sophos Advisory Services