Cyberpediadi Brain
ITDEENESFR

Pentest, Red Team, Blue Team e Purple Team

Test di intrusione, attacco simulato, squadre di difesa: che cosa indicano questi termini e che cosa fare se notate un comportamento sospetto.

In 30 secondi

Dove succede
Nella posta elettronica o sul computer, quando qualcosa esce dall'ordinario, che il test sia stato annunciato o no.
Che cosa vuole l'attaccante
In un test di intrusione, il tester usa gli stessi strumenti e le stesse tecniche di un avversario per verificare la solidità di un sistema1.
Il riflesso
Segnali subito al supporto o al SOC ciò che Le sembra sospetto, senza parlarne con il presunto autore e senza spegnere il computer finché non Le viene chiesto.
Se è già successo
Racconti con precisione che cosa ha visto, in quale momento e che cosa ha cliccato o digitato.

Di cosa si tratta

In azienda si sente parlare di pentest, Red Team, Blue Team o Purple Team. Queste parole descrivono attività di test e di difesa svolte da specialisti. Per un dipendente servono soprattutto a una cosa: sapere che un comportamento strano sul proprio computer o nella propria posta elettronica può derivare da un'esercitazione autorizzata, da un attacco reale o da un semplice guasto, e che in tutti e tre i casi va segnalato.

Le fonti raccolte per questa scheda descrivono in modo preciso il test di intrusione e la gestione degli incidenti. Non definiscono i termini Red Team, Blue Team e Purple Team. La scheda si limita quindi a ciò che queste fonti dicono e non attribuisce loro nulla di più.

Domande dirette

Che cos'è un pentest?

Il NCSC britannico lo definisce come un metodo per avere garanzie sulla sicurezza di un sistema informatico tentando di violarne una parte o la totalità, con gli strumenti e le tecniche che userebbe un avversario1. Lo paragona a una revisione contabile: la squadra interna segue le spese giorno per giorno, e una revisione esterna verifica che le sue procedure siano sufficienti1.

Il NIST, da parte sua, pubblica una guida tecnica sulla preparazione e la conduzione dei test di sicurezza, sull'analisi dei risultati e sulle misure correttive. Tra gli usi citati: cercare vulnerabilità in un sistema o in una rete e verificare il rispetto di una politica di sicurezza2.

Che cosa fanno la Red Team, la Blue Team e la Purple Team?

Nessuna delle fonti citate qui definisce questi tre nomi. Ciò che il NCSC descrive è un test basato su scenari che mira anche a misurare la capacità di rilevamento e di risposta dell'organizzazione, per conoscerne l'efficacia e la copertura in uno scenario dato1. Dal punto di vista del dipendente, a riguardarLa è il rilevamento: la Sua segnalazione ne fa parte.

Due basi di conoscenza di MITRE fanno da punti di riferimento comuni. ATT&CK raccoglie tattiche e tecniche degli avversari tratte da osservazioni reali7. D3FEND è un grafo di conoscenza delle contromisure di cybersicurezza8.

Un test può disturbare il mio lavoro?

Il NCSC scrive che i tester devono evitare di disturbare il sistema testato, ma che è impossibile garantire che non si verifichi alcuna reazione imprevista1. Un rallentamento o un comportamento strano può quindi verificarsi durante un test. Nel dubbio, lo segnali al supporto o al SOC.

Perché la mia segnalazione conta?

La segnalazione è una tappa del rilevamento. Il NCSC presenta la gestione degli incidenti come un ciclo in cinque fasi ripreso dal NIST: identificare, proteggere, rilevare, rispondere, ripristinare3. La sua raccolta di consigli colloca il rilevamento e la notifica tra le questioni di base della risposta agli incidenti3. Il NIST ricorda che una capacità di risposta serve a rilevare rapidamente gli incidenti, a limitare perdite e distruzioni, a correggere le debolezze sfruttate e a ripristinare i servizi5.

1Come funziona2 min

Un test di intrusione segue in genere uno schema in cinque fasi: primo contatto, definizione dell'ambito, test, rapporto e seguito. Ai problemi trovati viene assegnato un livello di gravità1. La definizione dell'ambito fissa i limiti tecnici, i tipi di test attesi e il calendario1. Il rapporto elenca le vulnerabilità, il livello di rischio di ciascuna e un modo per correggerla1.

I tester possono conoscere il sistema in anticipo oppure no. In un test a scatola chiusa non viene fornita alcuna informazione interna: il test si svolge dall'esterno e riproduce meglio il rischio proveniente da attaccanti sconosciuti all'organizzazione1. In un test a scatola aperta dispongono di tutte le informazioni sul bersaglio1. Il NCSC aggiunge che anche il grado di conoscenza del test fornito agli amministratori varia da un test all'altro1.

Un pentest ha dei limiti. Convalida soltanto l'assenza di vulnerabilità note il giorno del test, e tra due test può passare un anno o più1. Il rilevamento da parte dei dipendenti e della squadra di sicurezza resta quindi utile tra un test e l'altro.

Poi arriva la risposta agli incidenti. Il NIST ha pubblicato in aprile 2025 la revisione 3 della sua guida, che inserisce la risposta agli incidenti nella gestione complessiva del rischio descritta dal Cybersecurity Framework 2.046. Essa mira a preparare meglio le risposte, a ridurre il numero e l'impatto degli incidenti e a migliorare il rilevamento, la risposta e il ripristino6.

2Che cosa fare1 min

Il testo che segue è un'indicazione pratica, non un fatto tratto da una fonte: la procedura della Sua azienda prevale sempre.

  • Segnali non appena qualcosa Le sembra anomalo. Si rivolga al supporto o al SOC, secondo quanto indicato dalla Sua azienda.
  • Descriva i fatti: ora, che cosa compariva sullo schermo, che cosa ha aperto o digitato. Un dettaglio che sembra secondario può aiutare la squadra a collegare più segnali.
  • Non risponda al mittente di un messaggio sospetto e non si confronti con la persona di cui sospetta l'azione.
  • Non spenga il computer finché non Le viene chiesto e attenda le istruzioni del supporto o del SOC.
  • Se in seguito viene a sapere che si trattava di un'esercitazione, la segnalazione non è stata inutile: ha fatto funzionare la catena di rilevamento.
3Le trappole1 min

Credere che un'esercitazione sia un attacco reale, o il contrario. Poiché i tester possono non aver ricevuto alcuna informazione interna e il grado di conoscenza del test tra gli amministratori varia1, la differenza non è necessariamente visibile dal Suo computer. Segnali in entrambe le situazioni.

Non segnalare per timore di essere incolpati. Il NCSC parte dal principio che gli incidenti possono verificarsi e si verificheranno, e che la preparazione è ciò che aiuta a gestirli bene3.

Segnalare troppo tardi. Il NIST descrive l'obiettivo di una capacità di risposta come il rilevamento rapido degli incidenti e la limitazione delle perdite5.

Pensare che la sicurezza poggi sui tester. Il NCSC precisa che la valutazione dei rischi e le decisioni di correzione restano di responsabilità dell'organizzazione, e che la riduzione del rischio è un processo aziendale che non va affidato interamente alla squadra di test1.

Scheda

Identificativo
CP-247
Ala
3. Protocolli e difesa
Competenza Brain
Segnalare gli incidenti (report_incidents)
Riflesso Brain
cr-014
Schema
G4 · Cronologia dell'incidente (autopsia)
Lingue
de, en, es, fr, it
Fonti
8 fonti verificate il 3 novembre 2026
Fonti8 fonti
  1. NCSC (Royaume-Uni), «Penetration testing», 8 agosto 2017. https://www.ncsc.gov.uk/guidance/penetration-testing (consultato il 3 novembre 2026)
  2. NIST, «Technical Guide to Information Security Testing and Assessment». https://csrc.nist.gov/pubs/sp/800/115/final (consultato il 3 novembre 2026)
  3. NCSC (Royaume-Uni), «Incident management», 19 settembre 2019. https://www.ncsc.gov.uk/collection/incident-management (consultato il 3 novembre 2026)
  4. NIST, «Cybersecurity Framework». https://www.nist.gov/cyberframework (consultato il 3 novembre 2026)
  5. NIST, «Computer Security Incident Handling Guide», 6 agosto 2012. https://www.nist.gov/publications/computer-security-incident-handling-guide (consultato il 3 novembre 2026)
  6. NIST, «Incident Response Recommendations and Considerations for Cybersecurity Risk Management: A CSF 2.0 Community Profile». https://csrc.nist.gov/pubs/sp/800/61/r3/final (consultato il 3 novembre 2026)
  7. MITRE ATT&CK, «MITRE ATT&CK®». https://attack.mitre.org/ (consultato il 3 novembre 2026)
  8. MITRE, «MITRE D3FEND Knowledge Graph». https://d3fend.mitre.org/ (consultato il 3 novembre 2026)

Cita questo articolo

Brain, «Pentest, Red Team, Blue Team e Purple Team», Cyberpedia, 2026. https://startbrain.io/cyberpedia/it/articles/pentest-red-team-blue-team-purple-team/

BibTeX 
@misc{brain_cp247_it_2026,
  author = {Brain},
  title = {Pentest, Red Team, Blue Team e Purple Team},
  year = {2026},
  howpublished = {Cyberpedia},
  url = {https://startbrain.io/cyberpedia/it/articles/pentest-red-team-blue-team-purple-team/},
  note = {CC BY 4.0}
}
Licenza CC BY 4.0