PenTest o que é?
Pentest busca encontrar falhas em sistemas, através das mesmas técnicas utilizadas por crackers, porém com a finalidade em proteger de futuros ataques.
Os ataques são realizados para obter informações pessoais ou comerciais sem a devida autorização. Assim usando algumas metodologias para execução do PenTest é possível anteceder o ataque, corrigindo ou mitigando as vulnerabilidades detectadas.
Como podemos acompanhar nas notícias pelo mundo, muitas empresas estão sendo atacadas e tendo prejuízos com invasões.
As mesmas técnicas utilizadas por invasores também podem ser utilizadas para avaliar a segurança das corporações.
Estas técnicas, porém, devem ser empregadas por especialistas na área de segurança.
As técnicas de invasão quando aplicadas como mecanismo de avaliação da segurança são conhecidas como PenTest. Ou seja, são técnicas que os profissionais de segurança utilizam em uma determinada empresa para verificar o quão vulnerável essa empresa está.
Qual o objetivo do PenTest?
O objetivo do PenTest é provar que ao realizar testes que simulam ataques reais utilizando as mesmas técnicas e ferramentas que seriam utilizadas por crackers é possível prevenir-se de alguns ataques, assim aumentando a segurança de um sistema.
E com a utilização de uma metodologia para o teste e algumas ferramentas para automatizar esses ataques é possível facilitar esses resultados, assim podendo avaliar melhor o grau de vulnerabilidade do sistema computacional de uma organização
O que é Pentest?
PenTest é a contração de Penetration Test ou Teste de Penetração, o teste de penetração consiste em técnicas utilizadas por um Pentester(Pessoa que executa as técnicas de pentest) e também por Crackers para invadir ou obter informações, após a realização dos testes é gerado um relatório, onde são mostradas as vulnerabilidades (brechas em um sistema que podem gerar resultados não esperados) encontradas, as formas como foram exploradas e o impacto que isso poderá causar na organização caso seja usada por pessoas mau intencionadas.
O teste tem o intuito de detectar falhas e apresentar soluções possíveis nos sistemas antes que estas falhas sejam exploradas por Crackers
Metodologias para PenTest
Existem metodologias e guias de boas práticas para a realização do PenTest, tais como a NIST e o OWASP, porém ainda não existe uma metodologia padrão para a realização do PenTest.
Algumas metodologias existentes para o PenTest:
NIST (National Institute of Standards and Technology)
Esta metodologia especifica como as diferentes técnicas devem ser utilizadas para que os testes sejam efetuados com precisão.
Essa metodologia é dividida em algumas etapas:
- Testes de segurança e visão geral dos exames
- Revisão das técnicas
- Identificação do Alvo
- Técnicas de validação
- Planejamento de avaliações de segurança
- Execução de avaliação de segurança
- Atividades pós teste.
Essa metodologia não é tão detalhada do ponto de vista técnico como as demais, mas fornece informações suficientes para a realização de um teste de penetração.
ISSAF (Information Systems Security Assessment Framework)
Essa metodologia é disponibilizada pelo OISSG (Open Information Systems Security
Group), é a mais volumosa metodologia disponível. Basicamente consiste em três fases de estratégia: planejamento e preparação, avaliação e relatórios e limpeza.
Sua abrangência cobre quatro áreas:
- Segurança de Rede
- Segurança de Host
- Segurança de Aplicação
- Segurança de Banco de Dados
OSSTMM (Open Source Security Testing Methodology Manual)
O principal objetivo dessa metodologia é caracterizar a segurança operacional através dos exames e correlação dos resultados dos testes de uma maneira consistente.
OWASP (Open Web Application Security Project)
Essa metodologia tem um foco maior em testes de aplicações web.
O OWASP segue alguns princípios para a execução dos testes: não acreditar em milagres, pensar estrategicamente, testar cedo e com regularidade, entender o escopo da segurança, desenvolver a mentalidade correta, estender o objetivo, usar as ferramentas corretas, se atentar aos detalhes e documentar os resultados.
Tipos de testes de penetração
Existem várias maneiras de serem escolhidas as fases para se realizar os testes de
penetração, sendo que a principal diferença entre eles é o tipo de conhecimento
obtido da organização para realização do teste de penetração.
As mais utilizadas são:
Caixa Preta: onde não se tem nenhuma informação da infraestrutura a ser analisada.
Caixa Branca: onde se tem todas as informações da infraestrutura a ser analisada.
Caixa Cinza: onde se tem informações com acessos restritos, ou seja, os testes são
realizados de dentro da rede da organização.
A maior diferença entre o teste tipo caixa preta e o caixa branca é que no primeiro não se tem nenhuma informação da empresa. No teste tipo caixa branca pelo fato de se já ter obtido informações do alvo, pode-se ignorar algumas etapas. O tipo caixa cinza nada mais é do que a mistura dos testes caixa branca e caixa preta
Cada metodologia tem suas particularidades, seus pontos fortes e fracos. Algumas focam mais nos métodos, outras têm foco mais prático e outras ainda se centram em temas específicos como o OWASP que tem foco em aplicações WEB.
Por estas razões alguns especialistas não utilizam apenas uma única metodologia, eles analisam e decidem quais os melhores pontos de cada uma, criando assim uma metodologia proprietária.
Conclusão
As Metodologias atualmente disponíveis nos auxiliam a realizar o teste, proporcionando uma maior facilidade na detecção de erros no sistema. Porém a
utilização de apenas uma metodologia deixa a desejar em alguns aspectos, pois as
metodologias têm como principio ajudar na elaboração de etapas para a realização do teste, organizando melhor as etapas e técnicas a serem utilizadas.
As ferramentas utilizadas são de extrema importância na realização do PenTest. Porém sem uma metodologia os testes podem não ter tanta eficiência em seus resultados.
É possível observar que ainda há uma falta de integração entre as ferramentas,
ou seja, com a integração das ferramentas o trabalho do PenTester seria mais fácil e rápido.
Conseguimos concluir que o PenTest é de extrema importância para as organizações, pois essas técnicas ajudarão a organização a proteger suas informações dos atacantes, porém muitas organizações não estão preocupadas com suas informações, podendo ser prejudicadas no futuro.
Saiba mais sobre a MBM Solutions
A MBM foi fundada em 2001 e é uma empresa dedicada a oferecer soluções na área de sistemas para gestão empresarial.
Contamos com profissionais completamente capacitados e experientes, e com um suporte técnico humanizado e de excelente atendimento.
O sistema ERP da MBM conta com diversos relatórios, dashboards, consultas personalizadas, e a facilidade na customização conforme a necessidade do cliente.
Agende uma demonstração gratuita CLIQUE AQUI
Autor: Bruno Branco