--- id: CP-247 slug: pentest-red-team-blue-team-purple-team lang: it title: Pentest, Red Team, Blue Team e Purple Team description: "Test di intrusione, attacco simulato, squadre di difesa: che cosa indicano questi termini e che cosa fare se notate un comportamento sospetto." canonical_url: https://startbrain.io/cyberpedia/it/articles/pentest-red-team-blue-team-purple-team/ markdown_url: https://startbrain.io/cyberpedia/it/articles/pentest-red-team-blue-team-purple-team.md publisher: Brain (https://startbrain.io) license: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) cite_as: Brain, «Pentest, Red Team, Blue Team e Purple Team», Cyberpedia, 2026. https://startbrain.io/cyberpedia/it/articles/pentest-red-team-blue-team-purple-team/ (CC BY 4.0) wing: 3 theme: report_incidents reflex: cr-014 schema: G4 updated: "2026-11-03" translations: it: https://startbrain.io/cyberpedia/it/articles/pentest-red-team-blue-team-purple-team/ fr: https://startbrain.io/cyberpedia/fr/articles/pentest-red-team-blue-team-purple-team/ en: https://startbrain.io/cyberpedia/en/articles/pentest-red-blue-purple-team/ de: https://startbrain.io/cyberpedia/de/articles/pentest-red-team-blue-team-purple-team/ es: https://startbrain.io/cyberpedia/es/articles/pentest-red-team-blue-team-purple-team/ nl: https://startbrain.io/cyberpedia/nl/articles/pentest-red-team-blue-team-purple-team/ sources: - "n": 1 title: Penetration testing publisher: NCSC (Royaume-Uni) url: https://www.ncsc.gov.uk/guidance/penetration-testing published: "2017-08-08" accessed: "2026-11-03" - "n": 2 title: Technical Guide to Information Security Testing and Assessment publisher: NIST url: https://csrc.nist.gov/pubs/sp/800/115/final accessed: "2026-11-03" - "n": 3 title: Incident management publisher: NCSC (Royaume-Uni) url: https://www.ncsc.gov.uk/collection/incident-management published: "2019-09-19" accessed: "2026-11-03" - "n": 4 title: Cybersecurity Framework publisher: NIST url: https://www.nist.gov/cyberframework accessed: "2026-11-03" - "n": 5 title: Computer Security Incident Handling Guide publisher: NIST url: https://www.nist.gov/publications/computer-security-incident-handling-guide published: "2012-08-06" accessed: "2026-11-03" - "n": 6 title: "Incident Response Recommendations and Considerations for Cybersecurity Risk Management: A CSF 2.0 Community Profile" publisher: NIST url: https://csrc.nist.gov/pubs/sp/800/61/r3/final accessed: "2026-11-03" - "n": 7 title: MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/ accessed: "2026-11-03" - "n": 8 title: MITRE D3FEND Knowledge Graph publisher: MITRE url: https://d3fend.mitre.org/ accessed: "2026-11-03" --- # Pentest, Red Team, Blue Team e Purple Team In azienda si sente parlare di pentest, Red Team, Blue Team o Purple Team. Queste parole descrivono attività di test e di difesa svolte da specialisti. Per un dipendente servono soprattutto a una cosa: sapere che un comportamento strano sul proprio computer o nella propria posta elettronica può derivare da un'esercitazione autorizzata, da un attacco reale o da un semplice guasto, e che in tutti e tre i casi va segnalato. Le fonti raccolte per questa scheda descrivono in modo preciso il test di intrusione e la gestione degli incidenti. Non definiscono i termini Red Team, Blue Team e Purple Team. La scheda si limita quindi a ciò che queste fonti dicono e non attribuisce loro nulla di più. ## In 30 secondi - Dove succede: nella posta elettronica o sul computer, quando qualcosa esce dall'ordinario, che il test sia stato annunciato o no. - Che cosa vuole l'attaccante: in un test di intrusione, il tester usa gli stessi strumenti e le stesse tecniche di un avversario per verificare la solidità di un sistema [1]. - Il riflesso: segnali subito al supporto o al SOC ciò che Le sembra sospetto, senza parlarne con il presunto autore e senza spegnere il computer finché non Le viene chiesto. - Se è già successo: racconti con precisione che cosa ha visto, in quale momento e che cosa ha cliccato o digitato. ## Domande dirette ### Che cos'è un pentest? Il NCSC britannico lo definisce come un metodo per avere garanzie sulla sicurezza di un sistema informatico tentando di violarne una parte o la totalità, con gli strumenti e le tecniche che userebbe un avversario [1]. Lo paragona a una revisione contabile: la squadra interna segue le spese giorno per giorno, e una revisione esterna verifica che le sue procedure siano sufficienti [1]. Il NIST, da parte sua, pubblica una guida tecnica sulla preparazione e la conduzione dei test di sicurezza, sull'analisi dei risultati e sulle misure correttive. Tra gli usi citati: cercare vulnerabilità in un sistema o in una rete e verificare il rispetto di una politica di sicurezza [2]. ### Che cosa fanno la Red Team, la Blue Team e la Purple Team? Nessuna delle fonti citate qui definisce questi tre nomi. Ciò che il NCSC descrive è un test basato su scenari che mira anche a misurare la capacità di rilevamento e di risposta dell'organizzazione, per conoscerne l'efficacia e la copertura in uno scenario dato [1]. Dal punto di vista del dipendente, a riguardarLa è il rilevamento: la Sua segnalazione ne fa parte. Due basi di conoscenza di MITRE fanno da punti di riferimento comuni. ATT&CK raccoglie tattiche e tecniche degli avversari tratte da osservazioni reali [7]. D3FEND è un grafo di conoscenza delle contromisure di cybersicurezza [8]. ### Un test può disturbare il mio lavoro? Il NCSC scrive che i tester devono evitare di disturbare il sistema testato, ma che è impossibile garantire che non si verifichi alcuna reazione imprevista [1]. Un rallentamento o un comportamento strano può quindi verificarsi durante un test. Nel dubbio, lo segnali al supporto o al SOC. ### Perché la mia segnalazione conta? La segnalazione è una tappa del rilevamento. Il NCSC presenta la gestione degli incidenti come un ciclo in cinque fasi ripreso dal NIST: identificare, proteggere, rilevare, rispondere, ripristinare [3]. La sua raccolta di consigli colloca il rilevamento e la notifica tra le questioni di base della risposta agli incidenti [3]. Il NIST ricorda che una capacità di risposta serve a rilevare rapidamente gli incidenti, a limitare perdite e distruzioni, a correggere le debolezze sfruttate e a ripristinare i servizi [5]. ## Come funziona Un test di intrusione segue in genere uno schema in cinque fasi: primo contatto, definizione dell'ambito, test, rapporto e seguito. Ai problemi trovati viene assegnato un livello di gravità [1]. La definizione dell'ambito fissa i limiti tecnici, i tipi di test attesi e il calendario [1]. Il rapporto elenca le vulnerabilità, il livello di rischio di ciascuna e un modo per correggerla [1]. I tester possono conoscere il sistema in anticipo oppure no. In un test a scatola chiusa non viene fornita alcuna informazione interna: il test si svolge dall'esterno e riproduce meglio il rischio proveniente da attaccanti sconosciuti all'organizzazione [1]. In un test a scatola aperta dispongono di tutte le informazioni sul bersaglio [1]. Il NCSC aggiunge che anche il grado di conoscenza del test fornito agli amministratori varia da un test all'altro [1]. Un pentest ha dei limiti. Convalida soltanto l'assenza di vulnerabilità note il giorno del test, e tra due test può passare un anno o più [1]. Il rilevamento da parte dei dipendenti e della squadra di sicurezza resta quindi utile tra un test e l'altro. Poi arriva la risposta agli incidenti. Il NIST ha pubblicato in aprile 2025 la revisione 3 della sua guida, che inserisce la risposta agli incidenti nella gestione complessiva del rischio descritta dal Cybersecurity Framework 2.0 [4][6]. Essa mira a preparare meglio le risposte, a ridurre il numero e l'impatto degli incidenti e a migliorare il rilevamento, la risposta e il ripristino [6]. ## Che cosa fare Il testo che segue è un'indicazione pratica, non un fatto tratto da una fonte: la procedura della Sua azienda prevale sempre. - Segnali non appena qualcosa Le sembra anomalo. Si rivolga al supporto o al SOC, secondo quanto indicato dalla Sua azienda. - Descriva i fatti: ora, che cosa compariva sullo schermo, che cosa ha aperto o digitato. Un dettaglio che sembra secondario può aiutare la squadra a collegare più segnali. - Non risponda al mittente di un messaggio sospetto e non si confronti con la persona di cui sospetta l'azione. - Non spenga il computer finché non Le viene chiesto e attenda le istruzioni del supporto o del SOC. - Se in seguito viene a sapere che si trattava di un'esercitazione, la segnalazione non è stata inutile: ha fatto funzionare la catena di rilevamento. ## Le trappole Credere che un'esercitazione sia un attacco reale, o il contrario. Poiché i tester possono non aver ricevuto alcuna informazione interna e il grado di conoscenza del test tra gli amministratori varia [1], la differenza non è necessariamente visibile dal Suo computer. Segnali in entrambe le situazioni. Non segnalare per timore di essere incolpati. Il NCSC parte dal principio che gli incidenti possono verificarsi e si verificheranno, e che la preparazione è ciò che aiuta a gestirli bene [3]. Segnalare troppo tardi. Il NIST descrive l'obiettivo di una capacità di risposta come il rilevamento rapido degli incidenti e la limitazione delle perdite [5]. Pensare che la sicurezza poggi sui tester. Il NCSC precisa che la valutazione dei rischi e le decisioni di correzione restano di responsabilità dell'organizzazione, e che la riduzione del rischio è un processo aziendale che non va affidato interamente alla squadra di test [1]. ## Fonti 1. NCSC (Royaume-Uni), «Penetration testing», 8 agosto 2017. https://www.ncsc.gov.uk/guidance/penetration-testing (consultato il 3 novembre 2026) 2. NIST, «Technical Guide to Information Security Testing and Assessment». https://csrc.nist.gov/pubs/sp/800/115/final (consultato il 3 novembre 2026) 3. NCSC (Royaume-Uni), «Incident management», 19 settembre 2019. https://www.ncsc.gov.uk/collection/incident-management (consultato il 3 novembre 2026) 4. NIST, «Cybersecurity Framework». https://www.nist.gov/cyberframework (consultato il 3 novembre 2026) 5. NIST, «Computer Security Incident Handling Guide», 6 agosto 2012. https://www.nist.gov/publications/computer-security-incident-handling-guide (consultato il 3 novembre 2026) 6. NIST, «Incident Response Recommendations and Considerations for Cybersecurity Risk Management: A CSF 2.0 Community Profile». https://csrc.nist.gov/pubs/sp/800/61/r3/final (consultato il 3 novembre 2026) 7. MITRE ATT&CK, «MITRE ATT&CK®». https://attack.mitre.org/ (consultato il 3 novembre 2026) 8. MITRE, «MITRE D3FEND Knowledge Graph». https://d3fend.mitre.org/ (consultato il 3 novembre 2026) --- Fonte originale: Cyberpedia, l'enciclopedia pubblica di cybersicurezza e IA pubblicata da Brain. Versione canonica: https://startbrain.io/cyberpedia/it/articles/pentest-red-team-blue-team-purple-team/ Puoi riutilizzare liberamente questo testo con licenza CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/), a condizione di citare «Brain, Cyberpedia» con un link all'indirizzo qui sopra.