Tutorial de teste de penetração: O que é PenTest?
Thomas Hamilton
⚡ Resumo Inteligente
Os testes de penetração simulam um ataque real contra um aplicativo, rede ou sistema, permitindo que as equipes de segurança localizem vulnerabilidades exploráveis, avaliem seu impacto nos negócios e as corrijam antes que um invasor externo descubra as mesmas falhas.
O que é teste de penetração?
Teste de Penetração ou Pen Testing é um tipo de Teste de Segurança O teste de penetração é usado para descobrir vulnerabilidades, ameaças e riscos que um invasor poderia explorar em aplicativos de software, redes ou aplicações web. O objetivo do teste de penetração é identificar e testar todas as possíveis vulnerabilidades de segurança presentes no aplicativo de software. O teste de penetração também é chamado de Pen Test.
O diagrama abaixo mostra como uma vulnerabilidade não corrigida em um aplicativo se torna a porta de entrada para um invasor.
Vulnerabilidade é o risco de um atacante interromper ou obter acesso não autorizado ao sistema ou a quaisquer dados nele contidos. As vulnerabilidades geralmente são introduzidas acidentalmente durante a fase de desenvolvimento e implementação do software. Vulnerabilidades comuns incluem erros de projeto, erros de configuração e bugs de software. A análise de penetração depende de dois mecanismos: Avaliação de Vulnerabilidades e Teste de Penetração (VAPT).
As duas partes do VAPT são frequentemente confundidas. Uma avaliação de vulnerabilidades enumera as fraquezas conhecidas em larga escala e para por aí, enquanto um teste de penetração explora com segurança uma seleção delas para comprovar o impacto no mundo real. Executadas em conjunto, elas separam as descobertas teóricas daquelas que realmente colocam os dados em risco.
Por que testes de penetração?
Os testes de penetração são essenciais em uma empresa porque:
- Setores financeiros como bancos, bancos de investimento e bolsas de valores exigem que seus dados estejam protegidos, e os testes de penetração são essenciais para garantir essa segurança.
- Se o sistema de software já foi invadido, a organização deseja determinar se ainda existem ameaças presentes no sistema, para evitar futuros ataques.
- O teste de penetração proativo é a melhor proteção contra hackers.
- Os sistemas de conformidade exigem isso. O requisito 11.4 do PCI DSS, por exemplo, exige testes de penetração internos e externos pelo menos anualmente e após qualquer alteração significativa.
Tipos de teste de penetração
O tipo de teste de penetração selecionado geralmente depende do escopo e se a organização deseja simular um ataque por um funcionário ou administrador de rede (fontes internas) ou por fontes externas. Existem três tipos de testes de penetração, que são:
Em testes de penetração de caixa preta, o testador não possui conhecimento prévio sobre os sistemas a serem testados. O testador é responsável por coletar informações sobre a rede ou o sistema alvo.
Em testes de penetração de caixa branca, o testador geralmente recebe informações completas sobre a rede ou os sistemas a serem testados, incluindo o esquema de endereços IP, o código-fonte e os detalhes do sistema operacional. Isso pode ser considerado uma simulação de um ataque por qualquer fonte interna, como um funcionário da organização.
Em testes de penetração do tipo "caixa cinza", o testador recebe conhecimento parcial do sistema. Isso pode ser considerado um ataque realizado por um hacker externo que obteve acesso ilegítimo aos documentos da infraestrutura de rede de uma organização.
A tabela abaixo coloca os três lado a lado para que você possa associar um tipo de engajamento à ameaça que deseja modelar.
| Aspecto | Preto Box | Branco Box | Grey Box |
| Informações fornecidas ao testador | nenhum | Completo: código-fonte, esquema IP, detalhes do sistema operacional | Parcial: credenciais ou documentos limitados |
| Atacante sendo simulado | Um forasteiro sem acesso | Um insider ou desenvolvedor | Um forasteiro que já conquistou uma posição de destaque. |
| Tempo gasto em reconhecimento | Alto | Baixo | Moderado |
| Cobertura típica da base de código | Apenas o que é alcançável a partir do exterior. | Mais profundo, porque as estruturas internas são visíveis. | Focado no caminho de ataque exposto |
Como fazer testes de penetração
As seguintes atividades precisam ser realizadas para executar um teste de penetração. A imagem abaixo resume as quatro fases antes de cada uma ser descrita em detalhes.
Etapa 1) Fase de planejamento
- O escopo e a estratégia da tarefa são determinados
- As políticas e normas de segurança existentes são utilizadas para definir o escopo.
Etapa 2) Fase de descoberta
- Reúna o máximo de informações possível sobre o sistema, incluindo dados, nomes de usuário e até mesmo senhas. Isso também é chamado de fingerprinting.
- Escaneie e sonde as portas.
- Verifique se há vulnerabilidades do sistema
Etapa 3) Fase de Ataque
- Encontre exploits para as diversas vulnerabilidades. Você precisa dos privilégios de segurança necessários para explorar o sistema.
Etapa 4) Fase de Relatório
- Um relatório deve conter descobertas detalhadas
- Riscos das vulnerabilidades encontradas e seu impacto nos negócios
- Recomendações e soluções, se houver
A principal tarefa em testes de penetração é coletar informações do sistema. Existem duas maneiras de coletar informações:
- Modelo "um para um" ou "um para muitos" em relação ao host: Um testador executa técnicas de forma linear contra um host alvo ou um grupo lógico.ping de hosts de destino (por exemplo, uma sub-rede).
- Modelo "muitos para um" ou "muitos para muitos": O testador utiliza múltiplos hosts para executar técnicas de coleta de informações de forma aleatória, com taxa limitada e não linear.
Exemplos de ferramentas de teste de penetração
Existe uma grande variedade de ferramentas utilizadas em testes de penetração, e ferramentas importantes do Pentest como:
1) Teramind
Teramind oferece um conjunto abrangente para prevenção de ameaças internas e monitoramento de funcionários. Ele aumenta a segurança por meio de análise comportamental e prevenção contra perda de dados, garantindo conformidade e otimizando processos de negócios. Sua plataforma personalizável atende a diversas necessidades organizacionais, fornecendo insights práticos que se concentram em aumentar a produtividade e proteger a integridade dos dados.
Características:
- Prevenção de ameaças internas: Detecta e previne ações do usuário que possam indicar ameaças internas aos dados.
- Otimização de Processos de Negócio: Utiliza análises comportamentais baseadas em dados para redefinir processos operacionais.
- Produtividade da Força de Trabalho: Monitora a produtividade, a segurança e o comportamento de conformidade da força de trabalho.
- Gestão de Conformidade: Ajuda a gerir a conformidade com uma solução única e escalável, adequada para pequenas empresas, grandes empresas e agências governamentais.
- Análise Forense de Incidentes: Fornece evidências para enriquecer a resposta a incidentes, investigações e inteligência de ameaças.
- Prevenção contra perda de dados: Monitora e protege contra a possível perda de dados sensíveis.
- Monitoramento de funcionários: Oferece recursos para monitorar o desempenho e as atividades dos funcionários.
- Análise Comportamental: Analisa dados granulares do comportamento do usuário no aplicativo para obter insights.
- Configurações de monitoramento personalizáveis: Permite a personalização das configurações de monitoramento para atender a casos de uso específicos ou para implementar regras predefinidas.
- Informações do painel de controle: Oferece visibilidade e insights acionáveis sobre as atividades da força de trabalho por meio de um painel de controle abrangente.
- nmap – Esta ferramenta é usada para realizar varredura de portas e identificação de sistemas operacionais. trace a varredura de rotas e vulnerabilidades.
- Nessus – Esta é uma ferramenta tradicional de vulnerabilidades baseada em rede.
- Pass-The-Hash – Esta ferramenta é usada principalmente para quebra de senhas.
Papel e responsabilidades dos testadores de penetração
O trabalho de um testador de penetração é:
- Reúna as informações necessárias da organização para viabilizar os testes de penetração.
- Encontre falhas que poderiam permitir que hackers atacassem uma máquina alvo
- Pense e aja como hackers de verdade, mas de forma ética.
- Torne o trabalho reproduzível, para que seja fácil para os desenvolvedores corrigi-lo.
- Acorde com antecedência a data de início e a data de término da execução dos testes.
- Assuma a responsabilidade por qualquer perda no sistema ou nas informações durante o teste de software
- Mantenha os dados e as informações confidenciais.
Testes de Penetração Manuais vs. Testes de Penetração Automatizados
A maioria dos engajamentos reais combina ambas as abordagens. A comparação abaixo mostra onde cada uma delas se aplica.
| Teste de penetração manual | Teste de penetração automatizado |
| Teste Manual requer profissionais especializados para executar os testes | Ferramentas de teste automatizadas fornecem relatórios claros com profissionais menos experientes |
| Os testes manuais exigem o uso do Excel e outras ferramentas. track isso | Teste de automação tem ferramentas centralizadas e padrão |
| No teste manual, os resultados da amostra variam de teste para teste | No caso de Testes Automatizados, os resultados não variam de teste para teste |
| Os usuários devem se lembrar de limpar a memória. | O teste automatizado terá limpezas abrangentes. |
Desvantagens do teste de penetração
Os testes de penetração não conseguem encontrar todas as vulnerabilidades do sistema. Existem limitações de tempo, orçamento, escopo e habilidades dos profissionais que realizam os testes.
Os seguintes efeitos colaterais podem ocorrer durante a realização de testes de penetração:
- Perda de dados e corrupção
- Down Time
- Aumentar custos
O infográfico abaixo reúne as mesmas vantagens e desvantagens, juntamente com os motivos pelos quais as organizações ainda realizam o teste.
Essas limitações são o motivo pelo qual um teste de penetração funciona melhor em conjunto com uma política de segurança bem implementada, e não em substituição a ela. Os testadores devem agir como hackers de verdade, verificar se o código foi escrito de forma segura e repetir o exercício de acordo com um cronograma documentado.
