Teste de Intrusão (Pentest)
Consulte-nos
O Teste de Intrusão (Pentest) é um método que avalia as medidas de segurança, vulnerabilidades das redes, aplicativos web e sistemas através de ataques autorizados, que utilizando as mesmas táticas e técnicas que um hacker usaria, identificam falhas que podem ser exploradas por um invasor.
Atividades Inclusas:
- Reconhecimento
- Scanning
- Ganhando acesso
- Mantendo o acesso
- Análise
- Elaboração de Relatórios
- Apresentação dos Resultados
- Reteste
O que é um teste de intrusão (pentest)?
O teste de intrusão (Pentest) é um método que avalia as medidas de segurança e as vulnerabilidades das redes, aplicativos da web e sistemas através de ataques autorizados, que utilizando as mesmas táticas e técnicas que um hacker usaria, identificam falhas que podem ser exploradas por um invasor.
Os testes de intrusão podem incluir avaliações nas políticas de segurança, conformidade dos dados e requisitos de regulamentação, tais como, o padrão de segurança de dados do setor de cartões de pagamento (PCI DSS), e a capacidade da organização e de seus funcionários de descobrir e responder a incidentes de segurança.
Diferentemente de uma avaliação de vulnerabilidades, um teste de penetração não apenas identifica as vulnerabilidades que poderiam ser utilizadas pelos invasores, mas também explora essas vulnerabilidades, sempre que possível, para avaliar o que os invasores poderiam obter após uma exploração bem-sucedida das falhas.
Tipos de Teste:
Black Box
Simula uma tentativa de invasão originada fora da organização. O consultor inicia o teste apenas com o mínimo de informações, tais como o nome do domínio ou endereço IP externo do cliente.
Gray Box
Concentra-se em áreas de alto valor de uma rede. Simula normalmente uma situação na qual o invasor penetrou no perímetro da organização e tem algum nível de acesso à sua rede interna.
White Box
Simula uma tentativa de invasão originada dentro da organização. O consultor simula ser um invasor que tem conhecimento de como os sistemas da organização estão configurados e níveis com elevados de acesso.
Fases:
Reconhecimento: A primeira etapa é definir e planejar o escopo e as metas do teste. Isso inclui os sistemas que precisam ser resolvidos e os métodos de teste que precisam ser usados. Os consultores reúnem informações sobre a rede da organização para entender melhor como ela funciona e suas vulnerabilidades potenciais.
Scanning: Com o estágio de reconhecimento concluído, o consultor precisa analisar o aplicativo que está testando para entender como ele responderá às tentativas de intrusão. Eles fazem isso por meio de análise estática, que inspeciona o código do aplicativo para estimar como ele se comportará durante a execução, e análise dinâmica, que inspeciona o código em tempo real ou em estado de execução.
Ganhando acesso: O consultor usará então ataques baseados na web, como cross-site scripting (XSS) e injeção de Structured Query Language (SQLi), para descobrir e explorar vulnerabilidades. Isso envolve escalar seus privilégios, interceptar o tráfego e roubar dados para entender o nível de dano que um invasor pode causar.
Mantendo o acesso: Este estágio avalia se as vulnerabilidades descobertas podem ser usadas para ganhar presença contínua no sistema da organização e o nível de acesso que podem alcançar. Isso visa imitar ameaças persistentes avançadas (APTs), que permitem que um invasor permaneça em uma rede por meses e roube dados altamente confidenciais.
Análise: Os resultados do teste são compilados para detalhar as vulnerabilidades exploradas, quaisquer dados confidenciais que os consultores puderam acessar e a quantidade de tempo que eles poderiam permanecer no sistema da organização.
Ciclo:
Teste de Intrusão
Relatórios
Apresentação
Remediação
(Cliente)
Reteste