O teste de penetração é amplamente usado para complementar um firewall de aplicativo da web (WAF) no contexto da segurança de aplicativos da web. Um teste de penetração, também conhecido como pen test, simula um ataque cibernético em seu sistema de computador para identificar falhas exploráveis. Os resultados do teste de penetração podem ser usados para ajustar suas políticas de segurança do WAF e abordar as vulnerabilidades encontradas. Aqui está tudo o que você precisa saber sobre um teste de penetração, incluindo os vários tipos e métodos.
O que é um teste de penetração?
Um teste de penetração (pen test) é um ataque simulado legalmente sancionado em um sistema de computador para avaliar sua segurança. Os testadores de penetração empregam as mesmas ferramentas, estratégias e processos que os invasores para identificar e mostrar as implicações comerciais das falhas do sistema. Os testes de penetração normalmente replicam uma série de ataques que podem colocar uma empresa em perigo. Eles podem determinar se um sistema é forte o suficiente para resistir a ataques de posições autenticadas e não autenticadas, bem como de várias funções do sistema. Um teste de penetração pode entrar em qualquer aspecto de um sistema com o escopo correto.
Quais vantagens o teste de penetração oferece?
Idealmente, software e sistemas são desenvolvidos desde o início com o objetivo de eliminar problemas de segurança potencialmente perigosos. Um teste de caneta oferece informações sobre o quão bem esse objetivo foi alcançado. Veja como o teste de caneta pode ser benéfico para uma corporação.
- Identifique as falhas do sistema
- Determine a robustez do controle.
- Auxiliar na conformidade com os regulamentos de privacidade e segurança de dados (por exemplo, PCI DSS, HIPAA e GDPR).
- Forneça à gerência evidências qualitativas e quantitativas da postura de segurança existente e das prioridades orçamentárias.
Quais são as etapas do Pen Testing?
Os testadores de caneta agem como adversários motivados para simular ataques. Eles geralmente seguem um plano que envolve as seguintes etapas:
#1. Reconhecimento.
Para orientar a abordagem do ataque, reúna o máximo possível de informações sobre o alvo de fontes públicas e privadas. Pesquisas na Internet, recuperação de informações de registro de domínio, engenharia social, varredura de rede não intrusiva e, ocasionalmente, mergulho no lixo são todas as fontes. Esses dados ajudam os testadores de penetração a mapear a superfície de ataque do alvo e as possíveis vulnerabilidades. O reconhecimento varia dependendo do escopo e dos objetivos do teste de penetração; pode ser tão básico quanto fazer uma ligação para percorrer os recursos de um sistema.
# 2. Scanning
Os testadores de penetração utilizam ferramentas para procurar falhas no site ou sistema de destino, como serviços abertos, questões de segurança de aplicativos e vulnerabilidades de código aberto. Os testadores de penetração empregam uma variedade de ferramentas com base no que descobrem durante o reconhecimento e o teste.
#3. Obtendo entrada.
As motivações dos invasores podem variar desde roubar, modificar ou destruir dados até transferir fundos ou simplesmente prejudicar a reputação de uma empresa. Os testadores decidem quais ferramentas e táticas usar para obter acesso ao sistema, seja por meio de uma falha como injeção de SQL ou por malware, engenharia social ou qualquer outra coisa.
#4. Mantendo o acesso aberto
Depois que os testadores de penetração obtêm acesso ao alvo, seu ataque simulado deve permanecer conectado por tempo suficiente para atingir seus objetivos de exfiltração de dados, modificação ou abuso de funcionalidade. É necessário demonstrar o possível impacto.
Tipos de teste de penetração
Antes de decidir sobre um provedor, é crucial entender os vários tipos de pentests disponíveis, pois os engajamentos diferem em foco, profundidade e duração. A seguir estão exemplos de engajamentos comuns de hackers éticos:
#1. Teste de penetração de infraestrutura interna e externa
Uma avaliação da infraestrutura de rede local e na nuvem, incluindo firewalls, hosts do sistema e dispositivos como roteadores e switches. Testes de penetração internos, com foco em ativos dentro da rede de negócios, ou testes de penetração externos, com foco em infraestrutura voltada para a Internet, podem ser usados. Para definir o escopo de um teste, você deve saber o número de IPs internos e externos a serem examinados, o tamanho da sub-rede da rede e o número de sites.
#2. Exame de penetração sem fio
Um teste de WLAN (rede local sem fio) que visa explicitamente a WLAN de uma organização, bem como protocolos sem fio, como Bluetooth, ZigBee e Z-Wave. Auxilia na detecção de pontos de acesso não autorizados, falhas de criptografia e vulnerabilidades WPA. Os testadores precisarão saber o número de redes sem fio e de convidados, locais e SSIDs exclusivos a serem avaliados para definir o escopo de um compromisso.
#3. Teste de aplicativos da Web
Um exame de sites e programas personalizados distribuídos pela Internet para identificar defeitos de codificação, design e desenvolvimento que podem ser explorados de forma maliciosa. Antes de abordar um provedor de teste, determine o número de aplicativos que requerem teste, bem como o número de páginas estáticas, sites dinâmicos e campos de entrada que devem ser avaliados.
#4. Teste de aplicativos móveis
Teste de aplicativos móveis em plataformas como Android e iOS para descobrir vulnerabilidades de autenticação, autorização, vazamento de dados e manipulação de sessão. Para definir o escopo de um teste, os provedores devem conhecer os sistemas operacionais e as versões em que desejam que um aplicativo seja avaliado, o número de chamadas de API e os pré-requisitos para jailbreak e detecção de root.
#5. Revisão da construção e configuração
Examine as compilações e configurações de rede em busca de erros em servidores da Web e de aplicativos, roteadores e firewalls. O número de compilações, sistemas operacionais e servidores de aplicativos a serem testados é uma informação crítica para definir o escopo desse tipo de envolvimento.
#6. Engenharia social
Uma avaliação de seus sistemas e capacidade de pessoal para reconhecer e responder a tentativas de phishing por e-mail. Os ataques personalizados de phishing, spear phishing e Business Email Compromise (BEC) fornecem informações detalhadas sobre os perigos potenciais.
#7. Teste de penetração na nuvem
Avaliações de segurança de nuvem personalizadas podem ajudar sua organização a superar dificuldades de responsabilidade compartilhada, identificando e abordando vulnerabilidades em configurações de nuvem e híbridas que podem expor ativos importantes.
#8. Teste de penetração em um ambiente ágil
Avaliações de segurança contínuas e centradas no desenvolvedor com o objetivo de detectar e corrigir falhas de segurança durante o ciclo de desenvolvimento. Essa metodologia ágil ajuda a garantir que cada lançamento de produto, seja uma simples correção de bug ou um grande recurso, tenha sua segurança totalmente testada.
Métodos de teste de penetração
#1. Avaliação externa
Os testes de penetração externa visam os ativos visíveis na Internet de uma empresa, como o próprio aplicativo da Web, o site da empresa, e-mail e servidores de nome de domínio (DNS). O objetivo é obter acesso e extrair informações úteis.
#2. Avaliação interna
Em um teste interno, um testador com acesso a um aplicativo por trás do firewall da empresa simula um ataque interno malicioso. Isso nem sempre é imitar um funcionário renegado. Um ponto de partida comum é um funcionário cujas credenciais foram obtidas como resultado de uma tentativa de phishing.
#3. teste cego
Em um teste cego, o testador recebe apenas o nome da organização-alvo. Isso fornece ao pessoal de segurança uma visão em tempo real de como um ataque real ao aplicativo pode ocorrer.
#4. Teste duplo-cego
Trabalhadores de segurança em um teste duplo-cego não têm informações prévias do ataque simulado. Eles não terão tempo de reforçar suas fortificações antes de uma tentativa de violação, como no mundo real.
#5. Teste direcionado
Nesse cenário, o testador e a equipe de segurança colaboram e se mantêm informados sobre seus movimentos. Este é um excelente exercício de treinamento que oferece uma equipe de segurança com feedback em tempo real da perspectiva de um hacker.
Qual é o papel de um testador de penetração?
Um testador de penetração, ao contrário de outros especialistas em ciência da computação, concentra-se em um aspecto específico da segurança cibernética. Eles ajudam na proteção das informações digitais de seus negócios, detectando falhas no sistema antes que ocorra um ataque, um processo conhecido como teste de vulnerabilidade.
Os testadores de penetração podem salvar suas organizações dos danos financeiros e de confiança pública que vêm com violações significativas de dados. Para descobrir possíveis falhas e evitar ataques futuros, esses profissionais pensam como hackers perigosos.
Os testadores de penetração são frequentemente empregados por equipes de segurança cibernética ou de tecnologia da informação (TI). A experiência com ferramentas de hacking, codificação e script e uma compreensão abrangente de vulnerabilidades e sistemas operacionais são recursos importantes de teste de penetração.
Os testadores de penetração se beneficiam de fortes habilidades de comunicação, relacionamento interpessoal e redação de relatórios.
Quanto pode um testador de caneta fazer?
Pen testers podem ganhar muito dinheiro. De acordo com a Payscale, o salário médio do testador de penetração em setembro de 2021 é de $ 87,440. Esse valor é muito maior do que o salário médio nacional do BLS em maio de 2020 para todos os empregos de $ 41,950.
Os testadores de penetração no nível de entrada ganham menos do que os profissionais experientes. O pagamento varia de acordo com a educação, com os testadores de penetração de nível superior geralmente ganhando mais. Localização, setor e área especializada são fatores que podem afetar a remuneração.
Salário de um testador de penetração com base na experiência
As faixas salariais para testadores de penetração variam de acordo com o nível de experiência. Os testadores de penetração com 20 anos de experiência ganham uma média de $ 124,610 por ano, o que é aproximadamente $ 57,000 a mais do que a remuneração média dos trabalhadores iniciantes.
Ter apenas 1 a 4 anos de experiência pode aumentar drasticamente a renda de um testador de penetração, de $ 67,950 para um testador de penetração iniciante para $ 81,230 para um especialista em início de carreira.
Salário de um testador de penetração com base na educação
Os salários dos testadores de penetração geralmente aumentam com o nível de graduação. Passar de um bacharelado em segurança da informação para um mestrado, por exemplo, pode aumentar os salários médios em US$ 19,000 por ano.
Considere os benefícios e as desvantagens da educação extra, avaliando os melhores salários em potencial em relação ao tempo e dinheiro necessários para obter outro diploma. Certificações e campos de treinamento são possibilidades menos dispendiosas.
Os programas acadêmicos de teste de penetração geralmente fornecem diplomas em ciência da computação, segurança cibernética ou segurança da informação.
Salário de um testador de penetração por localização
Além de educação e experiência, onde você mora pode ter um impacto em sua remuneração. A renda de um testador de penetração pode ser afetada por fatores como demanda de emprego, custo de vida e densidade populacional. Considere ocupações em áreas de maior remuneração com estatísticas de custo de vida abaixo da média para otimizar o potencial de ganhos.
Quanto acesso os testadores de caneta têm?
Os testadores recebem graus variados de informações ou acesso ao sistema de destino, dependendo dos objetivos do teste de penetração. Em certas circunstâncias, a equipe de pentest começa com uma estratégia e permanece com ela. Às vezes, a estratégia da equipe de teste se desenvolve à medida que sua compreensão do sistema cresce durante o pen test. O acesso ao Pentest é dividido em três níveis.
- A caixa opaca. A equipe não tem conhecimento da estrutura interna do sistema de destino. Ele se comporta de forma semelhante a um hacker, explorando quaisquer falhas exploráveis externamente.
- Caixa semitransparente. A equipe está familiarizada com um ou mais conjuntos de credenciais. Ele também compreende as principais estruturas de dados, código e algoritmos do destino. Os testadores de penetração podem criar casos de teste a partir de extensa documentação de design, como diagramas de arquitetura do sistema de destino.
- Caixa transparente. Os testadores de penetração têm acesso a sistemas e artefatos do sistema, como código-fonte, binários, contêineres e, em alguns casos, aos servidores que executam o sistema. Este método oferece o mais alto nível de garantia no menor tempo possível.
O que são ferramentas de teste de penetração?
As ferramentas de teste de penetração são usadas como parte de um teste de penetração (Pen Test) para automatizar processos específicos, melhorar a velocidade do teste e descobrir falhas que seriam difíceis de detectar usando apenas técnicas analíticas manuais. Ferramentas de análise estática e ferramentas de análise dinâmica são dois tipos de ferramentas de teste de penetração.
Quais são os tipos de ferramentas de teste de caneta?
Não existe uma ferramenta de teste de caneta de tamanho único. Em vez disso, alvos diferentes exigem conjuntos de ferramentas diferentes para varredura de portas, varredura de aplicativos, invasões de Wi-Fi e penetração direta na rede. As ferramentas de teste de caneta são amplamente classificadas em cinco grupos.
- Software de reconhecimento para localizar hosts de rede e portas abertas
- Scanners para vulnerabilidades em serviços de rede, aplicativos da Web e APIs
- Ferramentas de proxy, como proxies da Web especializados ou proxies man-in-the-middle genéricos, estão disponíveis.
- As ferramentas de exploração são usadas para obter pontos de apoio do sistema ou acesso a ativos.
- Ferramentas de pós-exploração para interagir com sistemas, reter e aumentar o acesso e atingir metas de ataque
O que distingue o Pen Testing do teste automatizado?
Os testadores de penetração usam ferramentas automatizadas de verificação e teste, apesar do fato de que o teste de penetração é em grande parte um esforço manual. Eles também vão além das ferramentas para fornecer testes mais aprofundados do que uma avaliação de vulnerabilidade (ou seja, testes automatizados), utilizando sua compreensão das estratégias de ataque atuais.
teste de caneta manual
O teste de penetração manual identifica vulnerabilidades e fraquezas que não estão incluídas em listas populares (por exemplo, OWASP Top 10) e avalia a lógica de negócios que o teste automatizado pode ignorar (por exemplo, validação de dados, verificações de integridade). Um teste de caneta manual também pode auxiliar na identificação de falsos positivos fornecidos por testes automatizados. Os testadores de penetração podem examinar dados para direcionar seus ataques e testar sistemas e sites de maneiras que as soluções de teste automatizadas seguindo uma rotina predefinida não podem, pois são profissionais que pensam como adversários.
Teste automatizado
Comparado a uma abordagem de teste de caneta totalmente manual, o teste automatizado produz resultados mais rápidos e requer menos indivíduos qualificados. Os programas de testes automatizados rastreiam automaticamente os resultados e, às vezes, podem exportá-los para uma plataforma de relatórios centralizada. Além disso, as descobertas dos pentests manuais podem variar de teste para teste, mas fazer testes automatizados no mesmo sistema repetidamente produz os mesmos resultados.
Quais são as vantagens e desvantagens do Pen Testing?
Com o número e a gravidade das violações de segurança aumentando ano após ano, nunca houve uma necessidade tão grande de as empresas terem visibilidade de como podem resistir a ataques. Regulamentações como PCI DSS e HIPAA precisam de testes de penetração periódicos para garantir a conformidade. Com essas restrições em mente, a seguir estão algumas vantagens e desvantagens desse tipo de técnica de detecção de defeitos.
Vantagens do Pen Test
- Abordagens upstream de garantia de segurança, como ferramentas automatizadas, padrões de configuração e codificação, análise de arquitetura e outras tarefas de avaliação de vulnerabilidade mais leves, apresentam falhas.
- Localiza falhas de software conhecidas e desconhecidas e vulnerabilidades de segurança, incluindo problemas menores que podem não causar muita preocupação por conta própria, mas podem causar sérios danos como parte de um padrão de ataque maior.
- Pode atacar qualquer sistema emulando como os hackers mais hostis se comportariam, simulando um inimigo do mundo real o mais próximo possível.
As desvantagens do teste de caneta
- É trabalhoso e caro
- Não impede completamente que bugs e defeitos entrem no ambiente de produção.
Quais são os dois testes de penetração comumente usados?
Os dois tipos mais comuns de testes de penetração são automatizados e manuais.
Por que usamos testes de penetração?
O objetivo do teste de penetração é ajudar as empresas a determinar onde elas são mais vulneráveis a ataques e abordar proativamente essas vulnerabilidades antes que os hackers as explorem.
Para resumir,
Um teste de penetração (pen test) é um ataque simulado legalmente sancionado em um sistema de computador para avaliar sua segurança. Os testes de penetração fornecem informações abrangentes sobre ameaças de segurança do mundo real que podem ser exploradas. Ao fazer um teste de penetração, você pode identificar quais vulnerabilidades são críticas, quais são menores e quais são falsos positivos.
Artigos Relacionados
- MELHORES WEBSITES E EMPRESAS DE TESTE DE PRODUTOS EM 2023
- GAME TESTER: significado, empregos, salário e dicas gratuitas
- VÍDEO GAME TESTER: Significado, Salário, Como se Tornar Um e Trabalhos Remotos
- ESTRATÉGIA DE PENETRAÇÃO DE MERCADO: Um Guia para Penetração de Mercado (+Dicas Grátis)
Referências
