Mas o que são Análise de Vulnerabilidade e Penteste? Em que contexto eles se aplicam?

Gestores de TI, com sua permanente preocupação em oferecer à empresa o melhor e mais adequado ambiente digital, devem estar sempre atentos à questão da segurança da informação.

Porém, com ambientes tão complexos, a pergunta é: que pontos dessa estrutura podem estar vulneráveis? Por onde um ataque cibernético começaria? Quais poderiam ser as consequências?

Além disso: será que os investimentos já feitos em segurança da informação são suficientes? O ambiente está uniformemente protegido?

Nesse artigo você vai saber como a Análise de Vulnerabilidade e o Penteste respondem a essas questões, contribuindo para que as empresas adotem as medidas adequadas para reforçar a segurança de suas informações.

O que é Análise de Vulnerabilidade?

A Análise de Vulnerabilidade tem como objetivos a identificação e a correção de falhas de rede e de sistemas.

A partir de sistemas que fazem uma varredura sobre todos os ativos da empresa, as falhas de segurança são detectadas.

Assim, cada falha é classificada de acordo com o grau de risco que representa e as possíveis soluções são elaboradas e propostas.

Origem das vulnerabilidades

As principais causas para a existência de vulnerabilidades no ambiente são:

• Erros de desenvolvimento: os mais comuns estão na definição de tamanho de buffers de memória e na permissão à inserção de comandos SQL na entrada de dados;
• Configurações incorretas: firewalls e outros dispositivos de segurança mal configurados podem ser a porta de entrada para ataques maliciosos;
• Falhas humanas: execução manual de arquivos maliciosos, muitas vezes por desinformação.

Etapas na análise de vulnerabilidade

Podemos dividir a análise de vulnerabilidade em três etapas principais:

• Avaliação de riscos: envolve o entendimento dos processos do negócio, a identificação de todos os ativos que integram o ambiente de dados da empresa e sua classificação em relação ao tipo de informação que tratam;
• Avaliação de vulnerabilidades: nessa etapa, a partir de métodos específicos, cria-se um modelo associando cada ativo às diferentes categorias de ameaça a que ele está sujeito, com indicadores para a probabilidade da ameaça se concretizar;
• Tratamento do risco: das etapas anteriores, tem-se um mapeamento dos pontos prioritários a proteger no ambiente; o foco nessa etapa é encontrar as ferramentas adequadas para evitar os riscos.

Objetivo da análise de vulnerabilidade

Entre os principais objetivos da análise de vulnerabilidade, podemos citar:

• A identificação e a correção de brechas que comprometam a segurança do ambiente;
• A adequação das configurações de softwares, tornando-os mais seguros;
• A definição de novas soluções de segurança;
• A prevenção contra ataques automatizados;
• O processo de melhoria contínua para toda a infraestrutura da empresa;
• A documentação das rotinas de segurança da empresa.

O que é Penteste?

Penteste, ou Pentest, é uma abreviação para Penetration Test, ou seja, teste de penetração, ou ainda, teste de intrusão.

Trata-se de uma simulação de invasão à rede da empresa, com o objetivo de testar os mecanismos de defesa do ambiente.

Em outras palavras, o Penteste procura simular as diversas formas pelas quais os invasores podem tentar obter acesso às informações da empresa.

O profissional especialista em Penteste

O profissional mais indicado para a realização de um Penteste é o chamado “hacker ético”.

Existe até mesmo uma certificação internacional para profissionais de ethical hacking.

Dessa forma, as empresas podem contratar profissionais com a certeza de que eles não se utilizarão do acesso privilegiado ou mesmo das falhas e vulnerabilidades encontradas para propósitos indevidos.

A identificação desses profissionais como hackers se deve ao fato de que eles de fato dominam conhecimentos e ferramentas próprios de um hacker.

A diferença é que esses profissionais querem apenas alertar as empresas para os riscos que estão correndo.

Os diferentes tipos de Penteste

O fato de o hacker ter ou não conhecimento prévio sobre a infraestrutura de TI da empresa a ser testada determina a realização de um dos seguintes tipos de Penteste:

• Black Box: quando o hacker não conhece previamente a infraestrutura de TI da empresa;
  • Há uma etapa inicial de busca de informações, não só sobre a infraestrutura, mas sobre a empresa como um todo;
  • Assim, esse teste simula tipicamente um ataque externo, ou seja, realizado por alguém de fora da empresa;
• White Box: quando o hacker já conhece detalhes da empresa e de sua infraestrutura de TI;
  • Esse tipo de teste detecta falhas e vulnerabilidades que podem ser exploradas por alguém com acesso autorizado ao ambiente;
  • O White Box tende a ser um teste mais completo, pois o ponto de partida do responsável pelo teste é o conhecimento amplo de todo o ambiente;
• Gray Box: um tipo de teste intermediário, em que o hacker tem um conhecimento parcial acerca da infraestrutura de TI da empresa.

As etapas do Penteste

São definidas as seguintes fases na realização de um Penteste:

• Pré-acordo: primeiro, a empresa define, em conjunto com o testador, o que deve ser testado, de que forma o teste será feito e qual é a finalidade do teste;  um contrato de sigilo é assinado entre as partes;
• Fase de reconhecimento: a equipe de testadores faz um levantamento das informações sobre a empresa a ser testada;
• Fase de Varredura: os testadores varrem a rede, identificando todos os dispositivos encontrados;
• Fase de acesso e exploração: o testador explora cada dispositivo separadamente, procurando suas vulnerabilidades;
• Fase de evidências e relatório: todas as evidências de vulnerabilidades e possíveis ameaças são registradas em um relatório.

Como resultado, o relatório do penteste pode conter apenas a identificação das vulnerabilidades e ameaças encontradas, ou incluir recomendações para sua solução. Depende de como a equipe de testadores trabalha e do que foi acordado previamente.

Analisar vulnerabilidades ou testar intrusão?

Em primeiro lugar, Análise de Vulnerabilidade e Penteste não são a mesma coisa, embora ambos tratem pontos comuns, como as possíveis fraquezas em termos de segurança no ambiente de rede da empresa.

Portanto, não se trata de escolher um e descartar o outro. Cada teste é aplicável em um contexto diferente.

A Análise de Vulnerabilidade equivale a um monitoramento, devendo ser feito de forma contínua.

Por outro lado, o Penteste simula uma situação real e permite fazer uma avaliação integrada de todo o ambiente.

Pode, portanto, ser realizado com menor frequência, em intervalos maiores de tempo.

Conclusão

Riscos são uma constante em TI. Quanto mais a informação se torna o principal ativo de uma empresa, maior deve ser a preocupação com a sua segurança.

Assim, tanto a Análise de Vulnerabilidade quanto o Penteste são excelentes ferramentas para que uma empresa encontre a melhor forma de proteger suas informações.