Pentest / Red Team: mercato

Posizione

un'offerta aperta che ha superato il controllo di qualità e indica almeno due tecnologie

Candidato osservato

un candidato il cui stack contiene questa tecnologia; un dato aggregato: nessun singolo record esce dal perimetro

Candidato abbinabile

non ancora conteggiato

Finestra

offerte aperte nel momento in cui è stato creato lo snapshot

Junior: ingresso tipico: 1) Autodidatta + HackTheBox / TryHackMe + certificazione OSCP + vulnerabilità trovate nel bug bounty → Junior in una società di consulenza, 2) laureato in Computer Science / Cybersecurity + stage in una società di consulenza di sicurezza, 3) SOC Analyst / AppSec / DevSecOps Middle + passaggio alla specializzazione offensiva. Il salto Junior → Middle: dopo i primi 10-20 incarichi di pentest reali + certificazione OSCP + la prima vulnerabilità ad alta gravità nel bug bounty. Middle → Senior: competenze multi-dominio (web + rete + AD + mobile + cloud), guida di incarichi complessi multi-vettore, difesa dei report davanti al cliente, sviluppo della metodologia. Senior → Lead / Principal: guida del team + sviluppo di strumenti interni + gestione dei rapporti con i clienti. Percorso di carriera: autodidatta + bug bounty (1-2 anni) o laureato + OSCP (1 anno) → Junior Pentester (1-2 anni) → Middle (2-3 anni) → Senior → oppure Lead Pentester (gestione del team), Red Team Operator (percorso di consulenza premium: padronanza di Cobalt Strike + emulazione di APT), specialità in profondità (Mobile / Cloud / Hardware / Web: premium), Bug Bounty Hunter a tempo pieno (stile di vita indipendente), o passaggio ad AppSec Senior (lato preventivo).

Pentester (questa pagina): focus sullo sfruttamento attivo con perimetro definito (web / rete / mobile / cloud). Incarico tipico: 5-15 giorni, perimetro definito (URL / IP / app mobile specifici), obiettivo: trovare vulnerabilità + dimostrare lo sfruttamento + report. Spesso in consulenza. Red Team Operator: focus sulla simulazione avversaria: emulazione di APT (Advanced Persistent Threat), furtività prima di tutto, incarichi di più settimane / più mesi, obiettivo: testare le difese end-to-end (accesso iniziale → movimento laterale → escalation dei privilegi → esfiltrazione dei dati → C2). Specifico dello stack: padronanza di Cobalt Strike / Sliver + profili C2 personalizzati + evasione degli EDR + consapevolezza OPSEC. Specialità di fascia premium. Bug Bounty Hunter: indipendente o dipendente. Focus sulla scoperta di vulnerabilità uniche nei programmi di bug bounty pubblici / privati (HackerOne / Bugcrowd / Standoff). Stile di vita indipendente (i migliori: a tempo pieno senza datore di lavoro). Spesso focus su web / mobile / API. AppSec Engineer: focus sulla sicurezza preventiva del codice di prodotto: triage dei risultati SAST + threat modelling + revisione sicura del codice. Prospettiva difensiva. Vedi Application Security (AppSec). Realtà 2026 (mappa delle sovrapposizioni): Pentester ↔ Red Team: 60% di sovrapposizione (il Red Team è una specializzazione del pentest). Pentester ↔ Bug Bounty: 70% di sovrapposizione (mentalità offensiva simile, modello di incarico diverso). Pentester ↔ AppSec: 40% di sovrapposizione (entrambi pensano in modo offensivo, ma l'AppSec è preventiva, il pentest sfrutta attivamente). Cambi di carriera: Senior Pentester → Red Team Operator: 6-12 mesi (serve aggiungere padronanza di Cobalt Strike + evasione degli EDR + TTP di APT). Senior Pentester → Senior AppSec: 3-6 mesi (tradurre l'intuito offensivo nella revisione difensiva del codice). Bug Bounty Hunter → Pentester dipendente: facile (il CV = la reputazione nel bug bounty). Scelta di carriera: Pentester (dipendente) se vuoi lavoro strutturato + reddito stabile + varietà di incarichi + competenze a contatto con i clienti, Red Team (consulenza) se fascia premium d'élite + emulazione di APT a fondo + padronanza di Cobalt Strike + disponibilità a viaggiare, Bug Bounty Hunter se ti piace la caccia in solitaria a fondo + flessibilità di vita + accetti un reddito variabile + tolleri il rischio, AppSec se ti interessano la prevenzione + la collaborazione con l'ingegneria di prodotto.

Metodologia di pentest di riferimento 2026 (ibrido PTES, Penetration Testing Execution Standard + OWASP Testing Guide + NIST SP 800–115): 1) Pre-ingaggio: definizione del perimetro (IP / domini / app mobile / account cloud inclusi + esclusi), Rules of Engagement (ROE: cosa è consentito / vietato, orari di lavoro, contatti del cliente), accordi legali (SOW + NDA + manleva), preparazione dell'ambiente di test (account di test + accesso VPN). Obbligo: non iniziare mai senza un'autorizzazione scritta. 2) Ricognizione (passiva): OSINT (open-source intelligence): enumerazione dei sottodomini (amass + subfinder + log di certificate transparency crt.sh), query Shodan / Censys per i servizi esposti, theHarvester per le email dei dipendenti, analisi dei social media (LinkedIn / Twitter: per i pretesti di phishing), Wayback Machine / Common Crawl per gli artefatti storici. 3) Ricognizione (attiva): scansione Nmap (TCP + UDP + rilevamento delle versioni + script NSE), Masscan per grandi intervalli, crawling web (Burp Spider + manuale), scoperta delle API (Swagger / OpenAPI / introspezione GraphQL), ricognizione wireless (Kismet + Aircrack-ng) se il perimetro è fisico. 4) Identificazione delle vulnerabilità: scansione a template con Nuclei, test manuali con Burp Suite Pro, analisi statica mobile (MobSF + jadx + Hopper), analisi della configurazione cloud (ScoutSuite + Prowler), password spraying sulle credenziali (NetExec / Hydra), test delle credenziali predefinite. 5) Threat modelling per ogni risultato: per ogni vulnerabilità individuata: valutazione della gravità (CVSS 3.1 base + temporale + ambientale), analisi della sfruttabilità, stima dell'impatto sul business. 6) Sfruttamento: sviluppo di un proof-of-concept (PoC) che dimostri un impatto reale (non teorico). Web: catene SQLi + XSS + IDOR + SSRF + RCE. Rete: attacchi AD (Kerberoasting + ASREPRoasting + AS-REP + DCSync + Golden Ticket / Silver Ticket + AD CS ESC1-11). Mobile: bypass dello SSL pinning + estrazione di dati sensibili + abuso dell'IPC. Cloud: escalation dei privilegi IAM + attacchi cross-account. 7) Post-sfruttamento (se nel perimetro): movimento laterale (Impacket + percorsi BloodHound + pass-the-hash + pass-the-ticket), escalation dei privilegi, persistenza (se nel perimetro Red Team), scoperta dei dati (file system + database + storage cloud). 8) C2 (specifico del Red Team): attivazione di beacon Cobalt Strike / Sliver + bypass AMSI + evasione EDR + pivoting DNS / HTTPS / SMB. 9) Raccolta delle prove: screenshot + log dei comandi + file HAR + file di progetto Burp + registrazione video per le catene complesse. Mantenere la catena di custodia (conformità legale). 10) Reportistica: report completo con executive summary + metodologia + risultati (ordinati per gravità) + riproduzioni dei PoC + analisi dell'impatto sul business + raccomandazioni di remediation + piano di retest. Strumenti: Pwndoc + Dradis + SysReptor. 11) Presentazione al cliente: riunione di debrief con un pubblico tecnico + manageriale. Le competenze nel rapporto con il cliente sono fondamentali. 12) Retest (tipicamente 30-90 giorni dopo il report): verificare che le remediation siano efficaci + aggiornare il report. Trasversale: OPSEC (Operations Security): specifico del Red Team (nessuna traccia, nessun falso positivo, nessuna azione con impatto sulla produzione senza autorizzazione). Comunicazione: aggiornamenti regolari con il cliente (standup quotidiano per gli ingaggi di più settimane). Framework metodologici: PTES (il più vecchio), OWASP WSTG (Web Security Testing Guide: il più dettagliato per il web), MITRE ATT&CK (categorizzazione delle TTP), NIST SP 800–115 (standard del governo US). Un Senior Pentester deve conoscere tutti i framework + adattare la metodologia al perimetro di ogni ingaggio.

Sì, il 38% delle offerte Pentester è completamente da remoto o ibrido, ma con delle riserve: 1) La maggior parte del lavoro di pentest è nel cloud (il target del test è accessibile via VPN), ma 2) il pentest della rete interna richiede spesso la presenza in sede o la spedizione di hardware fisico (pentest Wi-Fi + attacchi via USB + valutazione della sicurezza fisica: difesa / aziende statali / banche). 3) Gli incarichi di Red Team Operator sono più spesso da remoto (mantenere un C2 a lungo termine da casa va bene), ma i debriefing con il cliente sono ibridi. 4) I Bug Bounty Hunter possono essere del tutto indipendenti (stile di vita completamente da remoto con i pagamenti dei bug bounty): gli hunter di alto livello viaggiano spesso (DEF CON / Black Hat / pwn2own / conferenze locali). 5) Autorizzazioni di sicurezza per difesa / aziende statali in Russia + USA (in caso di remoto internazionale): presenza in sede obbligatoria. Società di consulenza di sicurezza russe: ibrido o da remoto dopo la verifica dei precedenti di sicurezza (approfondita: può richiedere 2-6 mesi). Banche russe: i team di pentest interni sono in ibrido/in sede. Società di consulenza premium internazionali: completamente da remoto come standard. Cybersecurity delle Big 4 (KPMG / Deloitte / PwC / EY): ibrido con visite ai clienti. Team offensive delle Big Tech: ibrido come standard, assunzioni estremamente rare. Hub per chi si trasferisce nel pentest: USA (Bay Area + cluster della difesa di DC + Las Vegas, favorevole al DEF CON) / Regno Unito (Londra: sede di NCC Group) / Germania (cluster AI di Berlino + società di consulenza di sicurezza) / Canada / Serbia / Georgia. Inglese per il lavoro di pentest internazionale da remoto: indispensabile (DEF CON / Black Hat / Hack in Paris / OffSec OSCP / documentazione dei vendor Burp Suite / Cobalt Strike: tutto in inglese).

Pentester (generale): incarico con perimetro definito: il cliente dice «fai il pentest di queste 10 web app + di questi 5 intervalli IP», obiettivo: trovare quante più vulnerabilità ad alta gravità possibile in 5-15 giorni, report completo. Stack: Burp Suite + Nmap + Metasploit + Nuclei + Kali Linux. Red Team Operator: simulazione avversaria: il cliente dice «presupponi un accesso iniziale, vedi fin dove arrivi senza essere rilevato dal team SOC», obiettivo: testare le difese end-to-end, furtività prima di tutto, incarico di più settimane / più mesi. Catene di attacco in più fasi: 1) accesso iniziale (phishing / supply chain / servizi esposti / sfruttamento di 0-day), 2) stabilire un beacon C2, 3) ricognizione (BloodHound + ADExplorer + enumerazione personalizzata), 4) escalation dei privilegi (Windows: manipolazione dei token + bypass dell'UAC + abuso dei servizi + AD CS ESC1-11; Linux: SUID + capabilities + evasione da Docker + exploit del kernel), 5) movimento laterale (Pass-the-Hash + Pass-the-Ticket + WMI + PSRemoting + RDP), 6) persistenza (attività pianificate + sottoscrizione WMI + DLL sideloading + ADCS ESC8: persistenza con escalation a DA), 7) scoperta + esfiltrazione dei dati (storage cloud + database + condivisioni di file: esfiltrazione via DNS / HTTPS / webhook di Slack). Padronanza dell'evasione degli EDR: bypass di AMSI, bypass di ETW, invocazione diretta delle syscall (Hell's Gate / Halo's Gate / SysWhispers), offuscamento del payload (Donut + Inceptor + Scarecrow), cifratura dello shellcode + decifratura a runtime. Disciplina OPSEC: nessun comando riconoscibile, nessuna azione che impatti la produzione, nessuna traccia nei log (disattivazione di ETW + comunicazione via named pipe + solo in memoria). Certificazioni: OSEP (Offensive Security Experienced Pentester: la migliore per il Red Team) + CRTO (Certified Red Team Operator: Zero-Point Security: in crescita 2024+) + CRTL (Lead). Retribuzione: il Red Team Operator ha un premio sul Pentester generico del +20-40%. Percorso di carriera: Senior Pentester + padronanza di Cobalt Strike + studio delle TTP di APT + primo incarico Red Team → Red Team Operator: 6-12 mesi.

Roadmap: 1) Base: padronanza di Linux + internals di Windows + reti in profondità (TCP / UDP / DNS / HTTP / TLS / routing) + Python a fondo + bash + PowerShell. Senza questa base non ha senso passare al pentest. 2) Fondamenti di cybersecurity: OWASP Top 10 in profondità, triade CIA, crittografia applicata, pattern di attacco comuni. Libro: "The Web Application Hacker's Handbook" di Stuttard / Pinto (da leggere assolutamente nonostante l'età 2011). 3) Pratica su HackTheBox + TryHackMe (obbligatoria: la migliore formazione pratica di pentest 2026). Inizia dalle macchine facili → medie → difficili. Punta a risolvere 50+ macchine prima di candidarti a offerte di pentest. 4) PortSwigger Web Security Academy (gratuita: la migliore formazione di web pentest 2026, da fare tutti i lab). Ottieni la PortSwigger BSCP (Burp Suite Certified Practitioner): certificazione premium di web pentest. 5) Pentest di Active Directory: percorso AD di TryHackMe + HackTheBox Pro Labs Dante / Offshore / RastaLabs. Impara a padroneggiare BloodHound + Impacket + NetExec. "Hacking: The Art of Exploitation" di Jon Erickson (classico). 6) OSCP (Offensive Security Certified Professional): obbligatoria per la credibilità nel pentest. Esame pratico di 24 ore + report di 24 ore. Costo ~$1.500-2.000 per corso + esame. Preparazione: materiali del corso PWK + HackTheBox + TryHackMe. Preparazione media: 3-6 mesi di studio mirato. 7) Pratica di bug bounty: registrati su HackerOne / Bugcrowd / Intigriti / Standoff (russo). Inizia dai programmi pubblici, concentrandoti sui risultati facili (CSRF + XSS riflesso + IDOR + SSRF). Anche piccoli risultati costruiscono reputazione + CV. 8) Pentest mobile (specializzazione): MobSF + Frida + apktool + jadx. OWASP Mobile Top 10. "OWASP MASTG" (Mobile Application Security Testing Guide: gratuita). 9) Pentest del cloud (in crescita 2024+): Pacu + ROADtools + ScoutSuite. Libro "Hands-On AWS Penetration Testing with Kali Linux". 10) Basi di reverse engineering: padronanza di Ghidra (gratuito) + pratica con i Crackme (crackmes.one) + reverse di semplici malware Windows. 11) Progressione verso il Red Team: CRTO (Certified Red Team Operator: Zero-Point Security, in crescita 2024+, più accessibile di OSEP), OSEP (Offensive Security Experienced Pentester: avanzata ufficiale). Studio di Cobalt Strike (se fornito dal datore di lavoro). 12) Certificazioni avanzate (percorso premium): OSWE (Web Expert), OSED (Exploit Developer: sfruttamento binario in profondità), OSCE3 (ombrello OSEP + OSWE + OSED: livello premium). GIAC: GPEN, GWAPT, GXPN: percorso alternativo. 13) Ricerca di CVE / 0-day (percorso premium): trova vulnerabilità nel software open source, segnalale in modo responsabile, pubblica gli advisory. Anche una sola CVE pubblicata dà un'enorme spinta al CV. 14) Portfolio di progetti personali: a) profilo HackTheBox con 50+ macchine + completamento dei Pro Labs; b) reputazione nel bug bounty su HackerOne / Bugcrowd / Standoff (obiettivo ≥100 di reputazione); c) estensione Burp custom pubblicata su BAppStore; d) write-up sul blog dei risultati pubblicati su HackTheBox / TryHackMe / bug bounty. Internazionale (EN): Offensive Security: PWK / OSCP (obbligatoria: standard del settore), OSEP + OSWE + OSED (avanzate), corsi SANS (SEC560 / SEC542 / SEC660: premium e costosi), Zero-Point Security CRTO (Red Team: in crescita 2024+), Pentester Academy, INE (successore di eLearnSecurity: percorso eJPT / eCPPT / eWPT / eWAPT, più accessibile di OffSec). Libri da leggere assolutamente: "The Web Application Hacker's Handbook" di Stuttard / Pinto, "Hacking: The Art of Exploitation" di Jon Erickson, "Penetration Testing" di Georgia Weidman (introduttivo), "The Hacker Playbook" di Peter Kim (serie 1-3), "Red Team Field Manual (RTFM)" + "Blue Team Field Manual (BTFM)" (manuali tascabili). Conferenze: DEF CON (Las Vegas: la più grande conferenza hacker), Black Hat (Las Vegas + UE + Asia), OffensiveCon (Berlino), PHDays (Positive Hack Days: Mosca, la più grande in Russia), ZeroNights (Russia), Standoff (cyber-battaglia dal vivo di PT), RuCTF / RuCTFE (CTF russo), pwn2own (Trend Micro: competizione sulle vulnerabilità con ricchi premi in denaro). Autodidatta + 1-2 anni di bug bounty + OSCP → Pentester Junior.

213 active open Pentester positions with explicit pentest scope in our sample. The real market is wider due to: 1) Most Russian security consultancies often hire via internal referrals + public job postings are scattered, 2) Bug bounty hunters — independent, not counted in the job market, 3) Red Team Operator positions at Western consultancies — premium-tier rare hiring, 4) Big Tech offensive teams — extremely rare hiring (1-2 positions globally per year). True active pentest jobs in CIS + Europe — estimate 100–500 positions at any given moment in 2026. Geography: the US, Poland, the UK. The real market is broader thanks to the international remote segment. Time to close a Senior Pentester — 8-16 weeks (longer than general Security due to rare-skill + extensive background checks + multi-round technical interviews with hands-on exploitation challenges).

Un Senior Pentester gestisce l'intero ciclo della sicurezza offensiva + leadership tecnica + competenze a contatto con il cliente. Programmazione: Python a fondo (exploit personalizzati + automazione + estensioni Burp + strumenti di ricognizione), padronanza di bash + PowerShell (pentest di Windows AD), C / C++ per lo sfruttamento dei binari, JavaScript per lo sfruttamento web (payload XSS + prototype pollution + vulnerabilità DOM-based), basi di assembly per il reverse engineering (x86 + x86_64 + ARM). Padronanza del pentest delle web app: Burp Suite Professional avanzato (scrittura di Burp Extensions + integrazione di Burp Collaborator + Burp Intruder + Burp Macros per i flussi autenticati in più passaggi), OWASP Top 10 + OWASP API Top 10 a fondo, vulnerabilità web moderne (prototype pollution + insidie dei JWT + SSRF + GraphQL injection + attacchi WebSocket + cache deception + HTTP request smuggling: avanzato). Padronanza del pentest di rete: scripting NSE di Nmap in Lua, Active Directory a fondo (Kerberoasting + ASREPRoasting + DCSync + Golden / Silver / Diamond / Sapphire Ticket + AD CS ESC1-11 + abuso della Constrained / Unconstrained Delegation), padronanza di Impacket (smbexec + wmiexec + psexec + secretsdump + ntlmrelayx + GetUserSPNs + GetNPUsers), NetExec avanzato (ex CrackMapExec), padronanza di BloodHound (scrittura di query Cypher per percorsi di attacco personalizzati), Responder avanzato. Padronanza del pentest del cloud: Pacu a fondo (sfruttamento di AWS), ROADtools (ricognizione di Azure AD), TTP di attacco ad AWS / Azure / GCP (percorsi di privilege escalation IAM + attacchi cross-account + sfruttamento delle lambda + container escape + abuso dello storage cloud). Padronanza del pentest mobile: MobSF + Frida avanzati (script JavaScript personalizzati per la modifica a runtime + bypass dell'SSL pinning per diverse implementazioni anti-pinning), apktool / jadx (reverse engineering Android a fondo), Hopper / Ghidra / IDA Pro (reverse engineering iOS). Reverse engineering: Ghidra avanzato (script personalizzati + creazione di database Function ID), IDA Pro + Hex-Rays Decompiler, x64dbg / WinDbg per l'analisi dinamica, basi di analisi del malware. Sfruttamento: Metasploit avanzato (scrittura di moduli personalizzati in Ruby), padronanza di Cobalt Strike (se il percorso è Red Team: scrittura di profili malleable C2 + script Aggressor nel linguaggio Sleep + generazione di payload personalizzati), Sliver / Mythic / Havoc come C2 alternativi. Padronanza dell'evasione degli EDR (specifica del Red Team): bypass di AMSI + bypass di ETW + syscall dirette (SysWhispers + Hell's Gate + Halo's Gate), offuscamento dei payload (Donut + Inceptor + Scarecrow + Freeze), cifratura dello shellcode + decifratura a runtime, sleep obfuscation, parent PID spoofing. Disciplina OPSEC: sanificazione dei comandi (niente whoami / ipconfig: lasciano impronte), comunicazione tramite named pipe, operazioni solo in memoria, metodologia di pulizia dei log. Padronanza delle metodologie: PTES + OWASP WSTG + OWASP MASTG + NIST SP 800–115 + uso di MITRE ATT&CK Navigator per definire il perimetro dell'incarico. Padronanza della reportistica: scrittura tecnica chiara per i dirigenti + documentazione di PoC riproducibili + raccomandazioni di remediation + verifica con retest. Capacità di presentazione al cliente. Sviluppo di strumenti: costruire strumenti di pentest interni (Python / Go), scrittura di estensioni Burp + pubblicazione sul BAppStore. Soft skill: gestione del rapporto con il cliente (comunicazione con più stakeholder), negoziazione del perimetro, decisioni etiche (quando fermarsi / cambiare direzione / fare escalation), consapevolezza legale (leggi su frode / abuso informatico + catena di custodia), mentoring dei pentester Junior. Inglese OBBLIGATORIO per Senior+: la community del pentest / OffSec / DEF CON / Black Hat / la documentazione dei fornitori (Burp Suite / Cobalt Strike) sono interamente in inglese. Bonus facoltativi: CVE / 0-day pubblicati (enorme spinta al curriculum: pubblicazione su exploit-db.com / NVD / advisory dei fornitori), reputazione di alto livello nel bug bounty (HackerOne top-100 / top-50), talk alle conferenze (DEF CON / Black Hat / OffensiveCon / PHDays / vittorie a pwn2own), contributi open source agli strumenti di pentest (moduli Metasploit / Burp Extensions / template Nuclei / script NSE di Nmap): aumentano nettamente il valore di mercato per le assunzioni nelle aziende di pentest di frontiera.