Segurança

O que é, como funciona, tipos e importância do pentest?

Quaisquer organizações que queiram efetivamente proteger seus dados e garantir a integridade dos seus sistemas, precisam incluir em suas políticas de segurança, a realização de um pentest.

O que é, como funciona, quais os tipos e importância do pentest, é sobre o que trataremos hoje.

O que é pentest?

Também chamado de teste de penetração ou teste de intrusão, o pentest (penetration test, em inglês) é um processo pelo qual é possível avaliar diferentes aspectos da segurança de vários tipos de sistemas e de redes de computador.

É assim chamado, porque consiste de realizar testes e, portanto, não apenas um, tal como se fosse um hacker – na verdade um cracker – que visa penetrar / invadir os mais diversos sistemas digitais de uma empresa e ao conseguir seu objetivo, comportar-se como um intruso com ações hostis sobre o seu alvo.

Em termos gerais, no processo do teste de penetração, os analistas especializados em segurança cibernética – conhecidos como pentesters – conduzem testes diferentes, com o objetivo de avaliar o quão seguros ou vulneráveis são os sistemas, a infraestrutura de rede, aplicações web e demais aspectos do ambiente digital.

Ao tentar encontrar e explorar as possíveis vulnerabilidades em um sistema de computador qualquer, o pentester consegue saber uma série de aspectos que posteriormente farão parte de um relatório, o qual servirá para saber quais pontos precisam ser melhorados / corrigidos na infraestrutura cibernética.

O pentester é um “hacker ético”, uma vez que ele tem permissão para tentar a invasão, que possui conhecimentos técnicos avançados, certificações nas áreas de interesse, tanto como os black hats, ou se preferir, os hackers que realizam as invasões com propósitos ilegais, antiéticos e nocivos.

Por que os pentests são importantes?

A transformação digital tem sido responsável por colocar se não todas, a maioria das atividades e processos de uma empresa em ambiente digital e na grande maioria das vezes, com algum nível de acessibilidade remota ou indireta, como pode ser o caso de um servidor ou de uma estação de trabalho.

Ou seja, dados diversos podem se tornar acessíveis se não houver uma política de segurança eficaz e que contemple ações de detecção, prevenção e tratamento de riscos.

Uma falha qualquer que permita um intruso ter acesso aos sistemas, pode acarretar:

Vazamento de dados com consequências diversas a depender da natureza dos dados vazados;
Infecção por diferentes classes de malwares e que no caso de empresas, é frequente que seja um ransomware;
Perdas financeiras dependendo dos impactos e extensão da invasão;
Degradação da reputação digital e imagem da empresa / marca;
Danos a terceiros, como no caso de vazamentos que incluam dados de clientes e fornecedores.

Portanto, ao aplicar pentests rigorosos, os riscos de se ter sistemas e dados sensíveis acessados por terceiros, são minimizados aplicando as correções e melhorias identificadas nos testes.

Em termos mais objetivos, pode-se dizer que a sua importância está relacionada a:

Prevenção – identificar brechas e vulnerabilidades e impedir que elas sejam exploradas por hackers, evitando as consequências negativas;
Conformidade – estar em conformidade, garantindo o cumprimento de legislação específica, normas, regulamentações de segurança da informação (como PCI DSS, ou LGPD);
Confiança – ajuda na conquista da confiança dos clientes, parceiros comerciais e fornecedores, ao demonstrar que a segurança dos dados sob responsabilidade da empresa, é uma prioridade;
Melhoria contínua – como é um processo que é conduzido regularmente, permite identificar de modo contínuo todos os aspectos do ambiente digital que precisam de melhorias, em termos permanentes.
Reputação / imagem – como consequência direta de todos os fatores anteriores, de modo geral a reputação / imagem da marca tende a ser melhor.

Quais os tipos de testes de penetração?

Os tipos de pentest podem variar de acordo com as características do(s) sistema(s) testado(s) e de acordo com os objetivos da empresa.

Sendo assim, entre as diversas formas de realizar um teste de intrusão, é possível que se queira identificar de exploits, avaliação de vulnerabilidades, a verificação de aplicações (web, mobile e infraestrutura), ou testes em estruturas físicas, por exemplo.

A partir da determinação do contexto, há três abordagens possíveis:

1. Black Box

Nessa abordagem / tipo de teste de intrusão conhecida como caixa preta ou black box, o pentester tem nenhuma informação sobre o ambiente a ser testado.

No caso, o analista de cibersegurança tem diante de si, um cenário similar ao experimentado por um invasor externo, isto é, sem conhecimento prévio da infraestrutura, dos sistemas disponíveis, da arquitetura, das redes de computadores, nem de qualquer outra informação da que permita a ele saber o que encontrará.

O objetivo é simular um ataque externo realista e, a partir disso, identificar quais são as brechas que podem ser identificadas e exploradas pelos criminosos digitais, bem como os recursos de proteção que se mostraram eficazes.

2. Grey Box

Também conhecido como avaliação de caixa cinza, é o tipo no qual o pentester tem conhecimento limitado do alvo do seu ataque.

Isso significa que o especialista recebe algumas informações sobre a arquitetura interna do sistema, configuração ou vulnerabilidades, mas não todas as vulnerabilidades existentes.

Tal como na abordagem anterior, também se pretende simular um ataque cibernético, porém quando o agressor tem algumas informações privilegiadas sobre o alvo do ataque.

Além da intrusão, ele faz uso de ferramentas e técnicas, para coletar informações adicionais sobre o sistema visado.

Esse tipo geralmente se destina a verificar a segurança de redes internas, ou a segurança de aplicações da web, que são exemplos de situações nas quais há disponibilidade de algumas informações sobre o alvo do ataque.

3. White Box

Na abordagem da caixa branca ou white box, o analista de segurança tem total conhecimento sobre a infraestrutura e o código-fonte do sistema que está sendo colocado em teste e consiste na realização de uma análise integral do alvo testado.

Nele, o pentester tenta efetuar a invasão, fazendo uso de todas as suas informações essenciais e sob diversas possibilidades e isso inclui, topografia, senhas, endereços IP, dados de autenticação, dados que direta ou indiretamente se relacionam à rede, aos servidores e toda a estrutura digital da organização.

A partir daí, o resultado do Pentest ajuda a direcionar o que deve ser trabalhado para corrigir e implementar em todo o ambiente de TI e para reforçar sua segurança.

Esse método é útil para testar a segurança de sistemas complexos e entender como as vulnerabilidades podem ser exploradas internamente.

Como funciona um pentest?

É importante destacar que um pentest pode consistir de um processo bastante meticuloso, envolvendo etapas diversas e técnicas de coleta de informações, de acordo com as características dos sistemas submetidos aos testes e do que se pretende identificar.

Em termos amplos, essas etapas poder ser as seguintes:

Planejamento – o escopo do teste de intrusão é determinado, definindo os alvos que serão testados, bem como é feita a coleta de informações sobre ele, como endereços IP, nomes de domínio e estrutura de rede, por exemplo;
Escaneamento – nessa etapa, o pentester faz uma varredura para identificar quais portas de rede estão abertas e quais serviços estão sendo executados, além de buscar por falhas de segurança conhecidas nos sistemas e aplicações;
Acesso – as vulnerabilidades identificadas são exploradas a fim de se obter acesso aos alvos, para tanto usando variadas técnicas SQL injection, ataques de força bruta e exploits em software, compreendendo o nível de risco associado a cada vulnerabilidade;
Escalada – também chamada de pós-exploração, o analista já com acesso ao sistema, tenta realizar uma movimentação lateral, elevar seus privilégios, acessar bancos de dados e/ou outros servidores na rede local. Ele tenta simular um ataque prolongado e como pode permanecer dentro do sistema sem ser detectado, momento em que pode instalar backdoors ou até criar contas de usuário;
Relatório – é a etapa final, na qual é elaborada a documentação detalhada das vulnerabilidades encontradas, os impactos produzidos e quais as recomendações de correções e melhorias que precisam ser implementadas pela equipe de segurança da empresa.