Procurando uma forma de identificar vulnerabilidades da rede e dos sistemas em uso pela sua empresa? Conhecer os diferentes tipos de pentest vai ajudar.
Brechas de segurança, falhas, ameaças, riscos de invasão. Esse conjunto de palavras representa uma preocupação legítima e comum a qualquer organização quando o assunto é Segurança da Informação.
No melhor dos cenários, não se deve esperar um risco se concretizar, mas encontrar formas de preveni-lo. E é aí que o teste de intrusão ou penetration test entra em cena. Continue a leitura para saber mais!
O que é Pentest (Penetration Test)
Antes de abordarmos os tipos de pentest, vamos a uma breve explicação sobre o que é esse teste de intrusão. Falamos do uso de um conjunto de ferramentas automáticas para simular ataques a sistemas e detectar falhas e fragilidades; ou seja, uma ferramenta de análise de vulnerabilidades de TI.
Assim, o pentest contribui para que problemas relacionados à eficácia dos mecanismos de Segurança da Informação sejam identificados e corrigidos, elevando os níveis de proteção.
Continue a leitura para saber mais sobre o pentest ou, se preferir, fale já com um especialista sobre sua demanda de análise de vulnerabilidades.
Os 6 tipos de Pentest
Não existe apenas um teste que identifica eventuais vulnerabilidades. Na verdade, são seis os tipos de pentest, conforme explicamos a seguir:
1. Teste de penetração de infraestrutura interna/externa
Esse tipo de teste de intrusão, foca em uma avaliação da infraestrutura de rede local e em nuvem, o que inclui firewalls, hosts de sistema e outros dispositivos, como switches e roteadores.
Pode ser interno, voltado para a análise de ativos que compõem a rede corporativa, ou externo, direcionado para a infraestrutura de internet.
Em todo caso, para que o escopo do teste seja definido, é preciso conhecer dados como o número de IPs internos e externos que serão testados, o tamanho da sub rede e o número de sites.
2. Teste de penetração sem fio
Outro tipo é o pentest específico para a WLAN, ou seja, a rede local wireless usada pela organização e outros protocolos sem fio, como o bluetooth.
Seu principal objetivo é identificar vulnerabilidades nessa rede que possam ser exploradas como pontos de acesso não autorizados, bem como identificar pontos fracos na criptografia.
Nesse caso, para definir o escopo do teste, é preciso saber o número de redes WLAN em uso, assim como o número de convidados, locais e SSIDs exclusivos.
3. Teste de aplicativos da Web
Esse outro tipo de pentest foca na avaliação de sites e aplicativos personalizados fornecidos via web, com o objetivo de descobrir falhas de desenvolvimento, codificação e design que possam representar um risco à segurança.
Para conduzir o teste de intrusão de aplicativos da web, é preciso ter informações como o número de páginas estáticas e dinâmicas, além dos campos de entrada que devem ser analisados.
4. Teste de aplicativos móveis
Ainda, existe um tipo de pentest voltado para aplicativos móveis com diferentes sistemas operacionais ― incluindo Android e iOS ― para identificar problemas que abram brecha para ameaças, como falhas de autenticação, autorização e vazamento de dados.
Nesse caso, a definição do escopo do teste depende do conhecimento quanto aos tipos e versões do sistema operacional em que cada aplicativo deve ser testado, o número de chamadas de API e os requisitos tanto para jailbreak quanto para detecção de root.
5. Revisão de construção e configuração
Entre os tipos de pentest também está o que foca na revisão de configurações de rede para identificar falhas em servidores web, aplicativos, roteadores e firewalls.
A definição do escopo para este teste depende de informações como o número de compilações, sistemas operacionais e servidores de aplicativos a serem revisados no processo.
6. Engenharia Social
Por fim, o pentest de engenharia social faz uma avaliação da capacidade do sistema e das pessoas da empresa em identificar e responder a ataques de phishing via e-mail.
Quanto a isso, é fundamental lembrar que, além de configurar corretamente a infraestrutura de TI e contar com boas ferramentas de proteção, é preciso orientar o pessoal da empresa para detectar e evitar ameaças.
Modelos de Pentest
O que você também precisa saber é que existem três modelos de teste de intrusão que atendem a propósitos diferentes. Acompanhe:
Teste de Penetração do tipo White Box
O modelo White Box se baseia na realização de uma simulação de ataque interno à rede da empresa feito por alguém com acesso às informações necessárias. Ou seja, considera uma situação possível em que um colaborador seja o responsável pela ação criminosa.
A ideia é que o teste ajude a identificar vulnerabilidades que facilitam ou permitam esse ataque, indicando o que a organização deve fazer para fortalecer seus níveis de proteção à rede corporativa.
Teste de Penetração do tipo Black Box
Há também o modelo de teste Black Box que simula um ataque externo à rede corporativa, em que alguém de fora e sem acesso a todas as informações da organização encontra formas de invadir a rede.
Em outras palavras, essa simulação reproduz um cenário comum em que o invasor é um hacker. Por essa razão, esse modelo de pentest costuma ser o mais aplicado, uma vez que é a escolha ideal para identificar e corrigir vulnerabilidades que poderiam ser exploradas por cibercriminosos.
Teste de Penetração do tipo Grey Box
Por fim, há o modelo Grey Box que consiste em uma mistura dos dois tipos de teste anteriores, simulando uma situação em que alguém, apesar de não possuir todas as informações da empresa, tem o suficiente para invadir a rede e acessar dados sensíveis.
Etapas do Pentest
Em todo caso, independentemente do tipo de pentest, existem algumas etapas que precisam ser cumpridas no processo. Veja só:
Identificação e avaliação de riscos e vulnerabilidades
A primeira etapa é a que busca conhecer todas as informações relevantes da rede para que eventuais riscos sejam identificados e avaliados seguindo diferentes critérios, inclusive o de importância.
Com base nessas informações é que são definidas as estratégias, inclusive no que diz respeito à definição do melhor tipo de pentest e modelo. Algo que também depende do objetivo da organização.
Fase de exploração
A fase seguinte é uma investigação completa da rede para que todos seus detalhes ― como portas, VPNs e servidores ― sejam identificados, permitindo uma detecção minuciosa das vulnerabilidades da rede corporativa.
Coleta de evidências
Em seguida, a fase de coleta de evidências se baseia na indicação de todas as falhas e pontos fracos que tenham sido identificados anteriormente.
Quanto a isso, cabe destacar que são as evidências que provam a existência de brechas e outros riscos de segurança. O que faz desta uma etapa crucial de qualquer tipo de pentest.
Relatórios
Por fim, com base na coleta de evidências, deve ser feito um relatório conclusivo que documenta o pentest, direciona futuras análises e orienta a tomada de decisões para eliminar vulnerabilidades.
Conte com a Prolinx
Além de saber quais são os tipos de teste de intrusão, também é importante entender que existem diferentes metodologias de pentest e é preciso buscar por uma que gere resultados mais conclusivos, com menos chance de erro na análise dos dados coletados.
Para isso, é interessante contar com um time de especialistas que conhece as melhores ferramentas e tem expertise para avaliar qual metodologia adotar ― além de qual tipo de pentest e modelo.
Conheça o serviço de Análise de Vulnerabilidades e Pentest da Prolinx e conte conosco!
