O que são testes de penetração?

Aplicações. O testador de penetração usa ferramentas automatizadas e testes manuais para procurar vulnerabilidades dentro de aplicações e bancos de dados conectados. Isso pode significar examinar os binários da aplicação em si ou os processos de autorização, criptografia, o potencial para SQLi e métodos de ataque comparáveis.

Redes. A rede precisa ser submetida a testes rigorosos de penetração como o perímetro de segurança da organização (pelo menos em teoria). O processo geralmente envolve uma análise sistemática dos controles de acesso administrativo, SSL (Secure Socket Layer), protocolos de transporte criptografados, certificados, segmentação de rede e muito mais.

Nuvem. Com a nuvem, o testador de penetração analisa as configurações do sistema, as APIs (interfaces de programação de aplicações) e o armazenamento. O testador também provavelmente procurará instâncias de nuvem que foram configuradas sem as políticas padrão em vigor. Isso é mais comum do que as pessoas imaginam. Um desenvolvedor bem-intencionado, mas mal informado, pode implantar uma aplicação e um banco de dados em uma plataforma de nuvem sem aplicar controles de segurança ou até mesmo notificar qualquer pessoa de que a instância de nuvem existe.

Processos de desenvolvimento de software. O fluxo de trabalho de DevOps e o pipeline de CI/CD (integração contínua/implantação contínua) são locais onde os desenvolvedores incorporam inadvertidamente bugs e erros de codificação em softwares que tornam a aplicação vulnerável a violações. Com o teste de penetração automatizado de DevOps e o pipeline de CI/CD, o testador pode encontrar vulnerabilidades ocultas que não podem ser detectadas com a verificação de código estático. O testador de penetração também tentará entrar no fluxo de trabalho do desenvolvedor e ver se ele pode inserir código mal-intencionado na base de código. Ele realizará ações semelhantes em relação a contêineres, como Docker.

Dispositivos. O hardware pode ser vulnerável a uma violação tanto quanto uma rede ou uma aplicação. Um testador de penetração tentará invadir o dispositivo usando vulnerabilidades em binários de aplicações, firmware e software do sistema operacional. É comum que os testadores de penetração encontrem pontos fracos em dispositivos que não tiveram patches de segurança instalados.

APIs. Um testador de penetração usará uma combinação de processos de teste de API manuais e automatizados para determinar se uma API tem alguma das 10 principais vulnerabilidades de segurança de API do OWASP (Open Worldwide Application Security Project), como BOLA (Autorização Interrompida em Nível de Objeto), enquanto analisa se uma API tem falta de limitação de taxa ou apresenta problemas de autenticação do usuário.

O teste de penetração oferece uma variedade de benefícios que não estão disponíveis por meio de outros modos de teste de segurança. Isso não diminui a importância e a necessidade de realizar testes unitários, testes funcionais e similares. No entanto, o teste de penetração possibilita encontrar falhas de segurança que outros processos simplesmente não conseguem descobrir.

Além disso, o teste de penetração pode mostrar toda a cadeia de ataque: como o invasor descobriu a vulnerabilidade, a explorou, obteve acesso e manteve o acesso. Como resultado, o teste de penetração permite que as equipes de segurança corrijam problemas sistêmicos que, de outra forma, seriam invisíveis. Um teste de penetração eficaz também mostrará o quão forte um controle ou contramedida realmente é. Isso é ainda mais significativo quando considerado à luz da conformidade com regulamentos como PCI DSS e GDPR.

Os testes de penetração diferem em abordagem, dependendo do número e da natureza dos alvos de exploração, do nível de informações disponíveis ou coletadas pelo testador e das ferramentas, habilidades e recursos que o testador tem à sua disposição. Várias abordagens de teste de penetração incluem várias maneiras diferentes de teste de caixa:

Teste de penetração de caixa preta: Ao adotar uma abordagem de caixa preta (também conhecida como caixa fechada ou simples-cega) para o teste de penetração, o testador não tem conhecimento prévio do sistema alvo e testa-o apenas de uma perspectiva externa para simular um ataque real. Ele faz uso das táticas mais criativas e imparciais que pode, sem suposições. 

Teste de penetração de caixa branca: Em uma abordagem de caixa-branca (também conhecida como caixa-aberta ou caixa-transparente), o testador de penetração obtém acesso pré-aprovado às informações de segurança da empresa. Portanto, ele realiza o teste a partir de uma posição informada. Essa abordagem economiza o tempo que o testador gasta adivinhando, potencialmente permitindo que ele identifique mais riscos. Ela também fornece informações abrangentes sobre o sistema de destino, incluindo diagramas de arquitetura, código-fonte e funcionalidade. Isso permite uma análise completa e detalhada, descobrindo vulnerabilidades mais profundas que podem não ser visíveis com informações limitadas. 

Teste da penetração de caixa cinza: Em uma abordagem de caixa-cinza, a equipe de hackers está a par de informações parciais sobre o sistema da empresa. Como resultado, tem mais chances de identificar vulnerabilidades de alto risco e priorizar sua correção.

Uma abordagem secreta ou duplo-cega ocorre quando os usuários comuns, incluindo a equipe de TI, não sabem que o teste está ocorrendo. Isso testa a capacidade da TI de responder a violações em tempo real. Tal teste pode envolver informar as autoridades com antecedência para não causar alarmes falsos.