Pentest – Os Testes de Intrusão

A cada ano aumenta o interesse na área de Ethical Hacking e a atuação como Hacker profissional e ético, dentro dessa área vamos abordar um pouco o conceito de PenTest e as atividades praticadas pelo Pen Tester.

 

O que é PentTest

Significado PenTestO termo PenTest é derivado de Penetration Test, em português a melhor tradução seria Testes de Intrusão ou de Invasão.

O PenTest é um conjunto de técnicas e ferramentas utilizadas para identificar falhas de segurança em sistemas e redes corporativas. Através dessas técnicas, o profissional Pentester irá identificar as vulnerabilidades existentes na arquitetura da empresa, explorá-las e entregar um relatório à empresa, que deverá então tomar as devidas ações para corrigir as falhas de segurança.

Apesar de ser uma simulação de um ataque hacker, é importante mencionar que o PenTest é uma atividade profissional e sobretudo ética. Uma empresa contrata esses serviços para ter seus sistemas analisados por uma empresa ou profissional qualificado.

Um Pentest não é apenas um scaneamento de portas e vulnerabilidades, ele vai além disso. O Pentest faz uso de softwares e ferramentas (pentest tools) para explorar as vulnerabilidades identificadas, buscando identificar que tipo de informação pode ser obtida através daquela falha.

 

O Pen Tester

atividades pen testerO profissional especialista nos processos e atividades de um Penetration Test é denominado PenTester. Ele é também chamado de Auditor Pentest ou até Ethical Hacker (hacker ético).

O pen tester é um profissional que possui um elevado conhecimento em sistemas operacionais e redes de computadores e baseado nisso se utiliza de técnicas, ferramentas e softwares para realizar as suas análises.

É comum que também possua um Certificado internacional em Ethical Hacking. Uma certificação como esta dá credibilidade ao profissional e comprova que ele realmente atua de maneira profissional e dentro de princípios éticos.

 

Tipos de PenTest

Exitem diversos tipos e classificações para as análises de penetration test, dependendo muito da fonte da informação e da empresa que presta o serviço.

Basicamente esses tipos e sub-classificações diferem nos seguintes termos:

  • Quantidade de informação que a equipe de pen testers possui antes de iniciar o teste
  • Origem do teste, interna ou externa, simulando um ataque de fora da rede ou interno
  • Conhecimento ou não da realização dos testes pelos funcionários internos da empresa

Citando apenas as classifcações mais macro temos os tipos black-box e white-box.

Black-Box

Nesse tipo de análise, considera-se o sistema como uma caixa preta. Ou seja, os Pen Testers não possuem qualquer tipo de informação sobre a infraestrutura de sistemas e de rede da empresa que será auditada. Nesse caso haverá um maior tempo gasto na análise inicial, inclusive uma pesquisa sobre as características da empresa, existência de filiais, os principais diretores, os serviços prestados, qual a arquitetura da rede e os software utilizados e etc.

Esse é o teste normalmente aplicado para se simular um atacker hacker, externo à empresa.

White-box

Nesse tipo de teste, o PenTester conhece previamente toda a infraestrura que será analisada, incluindo o mapeamento de rede, o range de IPs, os firewalls e roteadores existentes e etc. É também comum que o auditor receba um usuário de sistema ou conta de e-mail que é normalmente utilizada por um funcionário da companhia.

Como o auditor possui todas as informações, é menor o risco de que algum serviço não seja percebido e devidamente analisado. Além disso todo o trabalho será focado em identificar e explorar vulnerabilidades, pois não há necessidade de se descobrir informações básicas.

Esse tipo de teste visa também identificar que tipo de atividade pode ser feita indevidamente de dentro da empresa, por um funcionário ou consultor mal intencionado, buscando principalmente evitar o acesso e roubo de informações confidenciais.

 

As Fases de Penetration Test

penetration testUma análise de Pen Test possui fases bem definidas e organizadas, normalmente divididas em um ciclo de vida. Cada fase possui diferentes etapas e sub-fases.

Vamos abordar aqui as principais delas:

 

Fase de Reconhecimento: Nessa fase a equipe de Pen Testers realiza o levantamento do máximo de informações possíveis sobre a empresa analisada. Dados como os serviços prestados, os principais gerentes e diretores, localização física, existência de filias e etc.

Fase de Varredura: Nesse momento é realizado uma varredura do que está presente na rede. Por exemplo, o range de IPs que é utilizado, quais os servidores existentes, os sitemas operacionais utilizados, as portas abertas e etc.

Fase de Obtenção de Acesso e Exploração: Com base no que foi identificado na fase de varredura, o pentest fará a exploração de cada ítem, efetivamente em busca das vulnerabilidades existentes. Com o uso de técnicas de exploit e brute force tentará identificar quais serviços estão vulneráveis e que tipo de informação, falhas ou controles podem ser obtidos através daquele serviço.

Fase de Obtenção de Evidências e Reporte: As evidências de todas as falhas e vulnerabilidades identificadas são coletada pela equipe. Com base nessas informações, é gerado um relatório completo indicando os pontos vulneráveis de todos os elementos da empresa, falhas na rede, em software mal configurados e desatualizados, falta de elementos de segurança e etc, indicando inclusive que prejuízos podem ser causados à empresa em cada uma das falhas.

Teoricamente, não é responsabilidade do PenTest indicar como cada falha deve ser corrigido, isso é responsabilidade da área de TI da empresa. No entanto, algumas empresas e profissionais acabam prestando esse serviço e dando suas recomendações.

 

Como um complemento, o vídeo abaixo (em inglês) reforça o que foi explicado neste artigo, e até adiciona algumas informações bem interessantes:


CURSOS NA BLACK FRIDAY

POR-BlackFriday2017-300x250

Curso Ethical Hacking