O que é teste de penetração? | O que é pen test?

O que é teste de penetração?

O teste de penetração (ou pen test) é um exercício de segurança em que um especialista em segurança cibernética tenta encontrar e explorar vulnerabilidades em um sistema de computador. O objetivo deste ataque simulado é identificar quaisquer pontos fracos nas defesas de um sistema dos quais os invasores possam se aproveitar.

Isso é como um banco que contrata alguém para se vestir de ladrão e tentar invadir seu prédio e obter acesso ao cofre. Se o "ladrão" for bem-sucedido e entrar no banco ou no cofre, o banco obterá informações valiosas sobre como eles precisam reforçar suas medidas de segurança.

Quem realiza os pen tests?

É melhor ter um pen test realizado por alguém com pouco ou nenhum conhecimento prévio de como o sistema é protegido, pois essa pessoa podem expor pontos cegos perdidos pelos desenvolvedores que construíram o sistema. Por esse motivo, geralmente são trazidos contratados externos para realizar os testes. Esses contratados são frequentemente chamados de “hackers éticos”, pois estão sendo contratados para invadir um sistema com permissão e com o objetivo de aumentar a segurança.

Muitos hackers éticos são desenvolvedores experientes com graus avançados e uma certificação para realizar pen tests. Por outro lado, alguns dos melhores hackers éticos são autodidatas. Na verdade, alguns são hackers criminosos reformados que agora usam seus conhecimentos para ajudar a corrigir falhas de segurança em vez de explorá-las. O melhor candidato para realizar um pen test pode variar muito dependendo da empresa-alvo e do tipo de pen test que deseja iniciar.

Quais são os tipos de pen test?

• Pen test de caixa aberta - Em um teste de caixa aberta, o hacker receberá algumas informações antecipadamente sobre as informações de segurança da empresa alvo.
• Pen test de caixa fechada - Também conhecido como teste "simples cego" é aquele em que o hacker não recebe informações básicas além do nome da empresa alvo.
• Pen test secreto - Também conhecido como pen test "duplo-cego", esta é uma situação em que quase ninguém na empresa está ciente de que o pen test está acontecendo, incluindo os profissionais de TI e segurança que irão responder ao ataque. Para testes secretos, é especialmente importante que o hacker tenha o escopo e outros detalhes do teste por escrito com antecedência para evitar problemas com a aplicação da lei.
• Pen test externo - Em um teste externo, o hacker ético enfrenta a tecnologia voltada para o lado externo da empresa, como seu site e servidores de rede externos. Em alguns casos, o hacker pode nem ter permissão para entrar no prédio da empresa. Isso pode significar realizar o ataque de um local remoto ou realizar o teste de um caminhão ou van estacionado nas proximidades.
• Pen test interno - Em um teste interno, o hacker ético realiza o teste a partir da rede interna da empresa. Esse tipo de teste é útil para determinar quanto dano um funcionário insatisfeito pode causar por trás do firewall da empresa.

Como é realizado um pen test normal?

Os pen tests começam com uma fase de reconhecimento, durante a qual um hacker ético passa algum tempo coletando dados e informações que usará para planejar seu ataque simulado. Depois disso, o foco passa a ser ganhar e manter o acesso ao sistema alvo, o que requer um amplo conjunto de ferramentas.

As ferramentas para o ataque incluem software projetado para produzir ataques de força bruta ou injeções de SQL. Há também o hardware projetado especificamente para pen tests, como pequenas caixas discretas que podem ser conectadas a um computador na rede para fornecer ao hacker acesso remoto a essa rede. Além disso, um hacker ético pode usar técnicas de engenharia social para encontrar vulnerabilidades. Por exemplo, enviar e-mails de phishing para funcionários da empresa ou até mesmo se disfarçar de entregador para obter acesso físico ao prédio.

O hacker encerra o teste cobrindo seus rastros; isso significa remover qualquer hardware incorporado e fazer todo o possível para evitar a detecção e deixar o sistema de destino exatamente como o encontrou.

O que acontece depois de um pen test?

Depois de concluir um pen test, o hacker ético compartilhará suas descobertas com a equipe de segurança da empresa alvo. Essas informações podem ser usadas para implementar atualizações de segurança para eliminar quaisquer vulnerabilidades descobertas durante o teste. Essas atualizações podem incluir limitação de taxa, novas regras WAF e mitigação de DDoS, bem como validações e higienização de formulários mais rígidas.