O teste de penetração, ou Pentest, como é conhecido, é responsável por realizar simulações de diferentes tipos ataques cibernéticos contra o sistema do computador do cliente. O objetivo é verificar se há vulnerabilidades exploráveis e que necessitam de melhorias – o que o torna primordial para garantir a segurança de aplicações web, mobile e da infraestrutura de TI, além de ser usado para aumentar um firewall de aplicação da Web (WAF).
Com isso, os insights fornecidos por este tipo de verificação podem servir de base para ajustar as políticas de segurança do WAF e corrigir as vulnerabilidades detectadas.
O Pentest pode ser dividido em cinco etapas: planejamento e reconhecimento, digitalização, acesso, manutenção do acesso e análise. Vamos conhecer um pouco mais sobre cada uma delas.
Planejamento e reconhecimento: nesta etapa, cabe definir o escopo e os objetivos do teste, incluindo os sistemas a serem abordados e os métodos de teste a serem usados;
Digitalização: o próximo passo é entender como a aplicação alvo responderá a várias tentativas de invasão. Isso geralmente é feito com base em análises estáticas e análises dinâmicas;
Acesso: este estágio usa ataques a aplicações da Web, como scripts entre sites, injeção de SQL e backdoors, para descobrir as vulnerabilidades de um alvo;
Manutenção do acesso: nesta fase, é necessário verificar se a vulnerabilidade pode ser usada para alcançar uma presença persistente no sistema explorado;
Análise: os resultados do teste de penetração são compilados em um relatório. São detalhados dados confidenciais acessados, vulnerabilidades específicas, dentre outros aspectos.
É também importante destacar os métodos de realização do Pentest, que listamos abaixo.
Teste externo: os testes de segurança externos dão foco nos ativos de uma empresa que são visíveis na internet. Por exemplo, a própria aplicação da web, o site da empresa, os servidores de e-mail e de nome de domínio (DNS). O objetivo é obter acesso e extrair dados valiosos;
Teste interno: em um teste de segurança interno, um testador com acesso a uma aplicação por trás de seu firewall simula um ataque de um usuário mal-intencionado. Esse tipo de teste simula um cenário no qual um funcionário teve seu acesso hackeado devido a um ataque de phishing;
Teste cego: em um teste de segurança cego, um testador recebe apenas o nome da empresa que está sendo segmentada. Isso dá à equipe de segurança uma visão – em tempo real – de como um ataque real em uma aplicação ocorreria;
Teste cego duplo: em um teste de segurança duplo cego, não há conhecimento prévio do ataque simulado. Como no mundo real, os testadores não têm tempo hábil para reforçar suas defesas antes de uma tentativa de violação;
Teste direcionado: nesse cenário, tanto o testador quanto o pessoal de segurança trabalham juntos e se avaliam. Este é um exercício de treinamento valioso, que fornece feedback em tempo real – do ponto de vista de um hacker – às equipes de TI.
Carlos Eduardo Alves, marketing manager da Claranet Brasil.
