Definição de teste de penetração

O teste de penetração (pen test) é um método que testa, mede e melhora as medidas de segurança das redes e sistemas das organizações, implantando as mesmas táticas e técnicas que um hacker usaria.

Os testes de penetração permitem que as organizações testem seus sistemas de TI, redes e aplicativos da web em busca de vulnerabilidades de segurança em potencial que podem ser exploradas por um invasor. Os testadores de penetração precisam coletar informações sobre o sistema que testam, identificar pontos de entrada em potencial e simular um ataque para entender a vulnerabilidade das organizações a ameaças como malware e ransomware.

O Pen Test visa descobrir e relatar fraquezas na postura de segurança de uma organização. Ele testa as políticas de segurança, a conformidade com os dados e requisitos de regulamentação de privacidade, como o padrão de segurança de dados do setor de cartões de pagamento (PCI DSS), e a capacidade da organização e de seus funcionários de descobrir e responder a incidentes.

Tipos de teste de penetração

Existem três métodos de gerenciamento de testes de penetração que simulam ataques cibernéticos.

• Black box: Simula uma tentativa de hack que vem de fora de uma organização. O teste começa com o pen tester não recebendo nenhuma informação sobre as redes ou sistemas da organização.
• Gray Box: Concentra-se em áreas de alto valor de uma rede. Eles muitas vezes podem simular uma situação em que um invasor penetrou no perímetro de uma organização e tem algum nível de acesso à sua rede interna.
• White box: Replica uma tentativa de hacking que vem de dentro da organização. Ele vê os pen testers simulando ser um insider malicioso que tem conhecimento de como os sistemas da organização estão configurados.

Fases de teste de penetração

O teste da caneta é um processo de 5 fases:

Reconhecimento

A primeira etapa é definir e planejar o escopo e as metas do teste. Isso inclui os sistemas que precisam ser resolvidos e os métodos de teste da caneta que precisam ser usados. Os pen testers reúnem informações sobre a rede da organização para entender melhor como ela funciona e suas vulnerabilidades potenciais.

Scanning

Com o estágio de planejamento concluído, o pen tester precisa analisar o aplicativo que está testando para entender como ele responderá às tentativas de intrusão. Eles fazem isso por meio de análise estática, que inspeciona o código do aplicativo para estimar como ele se comportará durante a execução, e análise dinâmica, que inspeciona o código em tempo real ou em estado de execução.

Ganhando acesso

O pen tester usará então ataques baseados na web, como cross-site scripting (XSS) e injeção de Structured Query Language (SQLi), para descobrir e explorar vulnerabilidades. Isso envolve escalar seus privilégios, interceptar o tráfego e roubar dados para entender o nível de dano que um invasor pode causar.

Manter o acesso

Este estágio avalia se as vulnerabilidades descobertas podem ser usadas para ganhar presença contínua no sistema da organização e o nível de acesso que podem alcançar. Isso visa imitar ameaças persistentes avançadas (APTs), que permitem que um invasor permaneça em uma rede por meses e roube dados altamente confidenciais.

Análise

Os resultados do teste são compilados para detalhar as vulnerabilidades exploradas, quaisquer dados confidenciais que os pen testers puderam acessar e a quantidade de tempo que eles poderiam permanecer no sistema da organização.

Tipos de ferramentas de teste de penetração

Ferramentas de Reconhecimento

O teste de penetração começa com ferramentas de reconhecimento, que coletam informações sobre o aplicativo ou rede visada. As ferramentas de reconhecimento incluem scanners de portas, análises de serviços da Web e scanners de vulnerabilidade de rede.

Scanners de vulnerabilidade 

Os scanners de vulnerabilidade ajudam os pen testers a identificar aplicativos com vulnerabilidades conhecidas ou erros de configuração. Eles podem ser usados para ajudar um pen tester a selecionar uma vulnerabilidade para explorar inicialmente.

Ferramentas de proxy

As ferramentas de proxy da web permitem que os pen testers modifiquem e interceptem o tráfego entre seu navegador e o servidor web da organização. Isso permite que eles identifiquem e explorem vulnerabilidades em um aplicativo por meio de técnicas como XSS e falsificação de solicitação entre sites (CSRF).

Ferramentas de exploração

Ferramentas de exploração são usadas para atacar uma organização em um pen test. Eles incluem software que pode produzir ataques de força bruta ou injeções de SQL, técnicas de engenharia social e hardware projetado especificamente para testes de caneta, como caixas que se conectam a um dispositivo e fornecem acesso remoto a redes.

Ferramentas de pós-exploração

Após a conclusão de um teste, o pen tester usa ferramentas de pós-exploração para cobrir seus rastros. Isso inclui remover o hardware integrado e tomar medidas para evitar a detecção, deixando o sistema como o encontrou.

Fonte

Saiba mais sobre Pen Testing e veja como a Brasiline pode ajudar o seu ambiente tecnológico.