Pontos principais
- Os métodos de pentest se diferenciam pelo nível de informação disponível: testes black-box partem do princípio de que o invasor não conhece o alvo; os gray-box, de conhecimento parcial; e os white-box, de conhecimento total.
- Cada uma das cinco categorias de serviços de pentest simula um cenário de ameaça distinto e revela um perfil de vulnerabilidade diferente.
- As cinco fases de um teste de penetração completo são: planejamento (reconhecimento), varredura (identificação de vulnerabilidades), invasão (exploração), permanência (persistência e movimentação lateral) e análise (relatório e orientações de correção).
- Os pentests ajudam as organizações a encontrar vulnerabilidades antes dos invasores, validar o preparo da resposta a incidentes, atender às exigências de HIPAA, PCI DSS e SOC 2 e montar roteiros de correção priorizados.
- MSPs que oferecem testes de penetração conhecem melhor a rede dos clientes, abrem caminho natural para vender serviços de correção e se posicionam como consultores estratégicos de segurança, não como fornecedores de conserto pontual.
O teste de penetração, também chamado de “pentest”, é usado por profissionais de cibersegurança e provedores de serviços gerenciados para encontrar vulnerabilidades em um sistema antes que ocorra um incidente de segurança. É comum receber pedidos de clientes para realizar testes de penetração, sobretudo agora que novas regulamentações governamentais começam a tornar a prática obrigatória.
O teste de penetração é uma especialização complexa e essencial para entregar bem os serviços de cibersegurança e conformidade. Mesmo os MSPs que não fazem os próprios pentests provavelmente vão se associar a outro provedor para garantir esse serviço valioso aos clientes.
O que é teste de penetração (pentest)?
O método de teste de penetração avalia, mede e melhora a postura de segurança das redes e dos sistemas de uma organização ao confrontá-los com as mesmas táticas e técnicas que um hacker usaria.
Os pentests permitem que as organizações testem sistemas de TI, redes e aplicações web em busca de possíveis falhas de segurança que um agente malicioso poderia explorar. Quem realiza o teste precisa reunir informações importantes sobre o sistema avaliado. Também precisa identificar possíveis pontos de entrada e simular um ataque para entender melhor as vulnerabilidades diante de ameaças como malware e ransomware.
O teste de penetração faz parte — e às vezes vem junto — de outras auditorias importantes, que abrangem políticas de segurança, conformidade com exigências de dados e privacidade, monitoramento e planejamento de resposta e correção.
Benefícios do teste de penetração e por que ele é necessário
As informações obtidas em um teste de penetração ajudam os gestores de TI a entender as fraquezas de segurança e a tomar decisões estratégicas para reduzi-las. O relatório do pentest mostra à organização como priorizar sua estratégia de cibersegurança e como combinar ferramentas e técnicas em camadas para obter a melhor cobertura.
Os pentests também colocam à prova a capacidade de resposta a incidentes: mostram o quanto a organização está pronta para reagir a um ataque real. A prática leva à perfeição, como se diz, e pentests regulares mantêm a organização ou a equipe de segurança de TI em estado de prontidão.
Quais são os tipos de teste de penetração?
Existem três métodos de simular ciberataques em um teste de penetração:
Black box
A avaliação black-box costuma ser feita na fase inicial de um teste de penetração. Quem realiza o teste — no papel de hacker mal-intencionado — não recebe nenhuma informação sobre o funcionamento interno ou a arquitetura do sistema-alvo. A missão é invadir o sistema contando apenas com o conhecimento de alguém de fora.
Como se pode imaginar, a ideia é simular o risco real de uma ameaça externa mapeando o sistema em busca de qualquer vulnerabilidade.
Gray box
O nível seguinte do teste simula o ataque de uma ameaça que conhece ao menos parte do sistema de segurança interno. Testadores gray-box normalmente assumem o papel de alguém com acesso e privilégios dentro do sistema. Eles recebem informações básicas sobre a arquitetura e as proteções do ambiente-alvo.
Essa abordagem produz uma avaliação mais objetiva e direcionada da segurança da rede. Nos testes black-box, boa parte do tempo vai embora só na procura por vulnerabilidades. Já o teste gray-box simula um ataque em que a ameaça sabe o que procura e tem alguma ideia de onde encontrar.
White box
Também conhecido como “teste orientado à lógica”, “teste auxiliar”, “teste de caixa aberta” e “teste de caixa transparente”, o teste white-box simula uma situação em que os hackers têm acesso total ao código-fonte e à documentação da arquitetura. Quem conduz o teste pode vasculhar cada trecho de código e de documentação em busca de vulnerabilidades, trabalhando no mesmo nível de quem desenvolveu o software ou a rede.
Apesar de demorado, é a forma mais completa de teste de penetração, capaz de expor vulnerabilidades internas e externas.
Categorias de teste de penetração
Como dá para perceber, nem todo teste de penetração é feito da mesma forma. Além dos três tipos de pentest, há pelo menos cinco serviços gerais que os profissionais de TI costumam oferecer:
Teste externo
O teste de penetração externo mira os ativos facilmente visíveis: sites, aplicações web, servidores de nomes de domínio (DNS) e contas de e-mail. Esses testes mostram se invasores externos conseguem usar sistemas expostos para acessar a rede ou os dados.
Teste interno
Os testes de penetração internos simulam o ataque de alguém de dentro, e não de uma ameaça externa. O objetivo é expor vulnerabilidades que poderiam ser exploradas por quem já está atrás do firewall da organização. Às vezes também se testa a vulnerabilidade dos funcionários a engenharia social ou phishing.
Teste cego
Quão vulnerável é um sistema diante de um hacker com pouquíssimas informações? No pentest cego, só são usadas informações de acesso público para entrar no sistema. Quem testa trabalha “às cegas”, mas o alvo é informado sobre o que o hacker ético vai atacar, como e quando.
Teste duplo-cego
No teste de penetração duplo-cego, nem quem testa nem o alvo sabem o escopo do ataque simulado. O alvo não tem conhecimento prévio da natureza do ataque, ou seja, não tem tempo de se preparar e distorcer os resultados. Esse método expõe vulnerabilidades de forma mais confiável, já que leva o plano de segurança ao limite prático de um jeito mais realista.
Teste direcionado
O teste direcionado é um trabalho colaborativo: hacker e defensores mantêm uns aos outros a par de suas ações. Ao “jogar” um ataque em tempo real, tanto quem testa quanto a organização-alvo ganham insights valiosos sobre as melhores estratégias de segurança da informação a adotar.
Fases ou etapas do teste de penetração
Os testes de penetração costumam ser feitos em cinco etapas:
- Planejamento. É a etapa de coleta de informações e preparação do teste. Começa com o reconhecimento do alvo e a criação de um plano de ataque. A engenharia social costuma aparecer aqui, para reunir os recursos (informações e dados) necessários ao ataque.
- Varredura. Em seguida, o testador faz uma “varredura” no sistema-alvo para encontrar vulnerabilidades e descobrir como o alvo vai reagir ao ataque. É como checar todas as portas e janelas externas de um prédio para ver se estão trancadas.
- Invasão. Agora entram em cena estratégias como cross-site scripting, injeção de SQL ou backdoors para contornar o firewall e entrar no sistema. Depois da invasão, os testadores assumem o controle da rede, dos dispositivos e/ou dos dados.
- Permanência. O próximo objetivo é descobrir por quanto tempo é possível ficar no sistema e até onde dá para avançar dentro dele. Os testadores instalam rootkits e backdoors para garantir que permanecer no sistema — ou voltar depois — seja trivial. Também simulam como um hacker apagaria seus rastros para eliminar evidências da intrusão.
- Análise. É hora do hacker ético fechar o ciclo do teste. O testador elabora uma revisão detalhada da configuração e relata os resultados do ataque simulado. As informações sobre vulnerabilidades exploráveis e lacunas de segurança servem então para reavaliar a estratégia de segurança e iniciar a correção e o hardening do sistema.
Ferramentas de pentest usadas por MSPs e profissionais de TI
O teste de penetração é um trabalho complexo e técnico, que exige várias ferramentas especializadas — as mesmas ou parecidas com as usadas por agentes de ameaça reais.
Ferramentas de reconhecimento
As ferramentas de reconhecimento entram na primeira etapa do teste, quando o hacker ético coleta informações sobre a aplicação ou a rede visada. Nessa categoria estão scanners de portas TCP, análises de serviços web, localizadores de domínios e scanners de vulnerabilidades de rede.
Ferramentas de proxy
As ferramentas de proxy interceptam o tráfego entre o navegador e o servidor web visado. Com isso, é possível identificar e explorar vulnerabilidades da aplicação com técnicas como XSS e server-side request forgery (SSRF).
Scanners de vulnerabilidades
Os scanners de vulnerabilidades de web e de rede ajudam a identificar aplicações com falhas conhecidas ou erros de configuração. São usados na segunda etapa do ataque, para achar um caminho de entrada no sistema.
Ferramentas de exploração
As ferramentas de exploração executam a parte do “ataque” no teste de penetração. Elas viabilizam diversas ações ofensivas, como ataques de força bruta ou injeções de SQL. Alguns equipamentos criados especificamente para pentest, como caixas que se conectam a um dispositivo e dão acesso remoto às redes, também são ferramentas de exploração úteis.
Ferramentas de pós-exploração
As ferramentas de pós-exploração apagam os rastros do testador depois do ataque. Essa categoria permite ao hacker ético escapar da detecção e deixar o sistema como o encontrou.
Deixe sua rede mais forte e mais segura. Assista a O que é teste de penetração? e descubra como.
Parceria com a NinjaOne
Ao oferecer serviços e produtos de teste de penetração, seu MSP conhece a fundo a rede de cada cliente — e isso abre espaço para vender os serviços de cibersegurança sob medida de que eles precisam. É um passo importante para deixar as redes dos clientes o mais seguras possível.
E a NinjaOne está aqui para tornar seu MSP o mais eficiente e ágil que ele pode ser. Milhares de usuários contam com nossa plataforma de RMM de última geração para lidar com a complexidade do gerenciamento de TI moderno.
Se quiser se tornar parceiro da NinjaOne, agende uma demonstração ou comece seu teste gratuito de 14 dias e veja por que os MSPs escolhem a Ninja como parceira de RMM.
Artigos relacionados:
- Teste de penetração x varredura de vulnerabilidades
- Como criar um programa de correção de 90 dias a partir de testes de penetração, com comprovação
- Como identificar e prevenir vulnerabilidades de software
- Por que as avaliações de comprometimento são importantes nos programas modernos de cibersegurança
- O que é uma avaliação de vulnerabilidades e por que ela é importante?
