Hacking ético - teste de caneta
O teste de penetração é um método que muitas empresas seguem para minimizar suas violações de segurança. Essa é uma forma controlada de contratar um profissional que tentará hackear seu sistema e lhe mostrará as brechas que você deve corrigir.
Antes de fazer um teste de penetração, é obrigatório ter um acordo que mencionará explicitamente os seguintes parâmetros -
qual será o tempo do teste de penetração,
onde estará a fonte de IP do ataque e
quais serão os campos de penetração do sistema.
O teste de penetração é conduzido por hackers éticos profissionais que usam principalmente ferramentas comerciais de código aberto, ferramentas automatizadas e verificações manuais. Não há restrições; o objetivo mais importante aqui é descobrir o máximo possível de falhas de segurança.
Tipos de teste de penetração
Temos cinco tipos de teste de penetração -
Black Box- Aqui, o hacker ético não possui nenhuma informação sobre a infraestrutura ou a rede da organização que está tentando penetrar. No teste de penetração da caixa preta, o hacker tenta encontrar as informações por conta própria.
Grey Box - É uma espécie de teste de penetração onde o hacker ético tem um conhecimento parcial da infraestrutura, como seu servidor de nomes de domínio.
White Box - No teste de penetração de caixa branca, o hacker ético recebe todas as informações necessárias sobre a infraestrutura e a rede da organização que ele precisa para penetrar.
External Penetration Testing- Este tipo de teste de penetração se concentra principalmente na infraestrutura de rede ou servidores e seu software operando sob a infraestrutura. Nesse caso, o hacker ético tenta o ataque usando redes públicas através da Internet. O hacker tenta hackear a infraestrutura da empresa atacando suas páginas da web, servidores da web, servidores DNS públicos, etc.
Internal Penetration Testing - Nesse tipo de teste de penetração, o hacker ético fica dentro da rede da empresa e realiza seus testes a partir dela.
O teste de penetração também pode causar problemas como mau funcionamento do sistema, falha do sistema ou perda de dados. Portanto, uma empresa deve assumir riscos calculados antes de prosseguir com o teste de penetração. O risco é calculado da seguinte forma e é um risco de gerenciamento.
RISK = Threat × Vulnerability
Exemplo
Você tem um site de comércio eletrônico online que está em produção. Você quer fazer um teste de penetração antes de colocá-lo ao vivo. Aqui, você deve primeiro pesar os prós e os contras. Se você prosseguir com o teste de penetração, isso pode causar a interrupção do serviço. Pelo contrário, se você não deseja realizar um teste de penetração, então você pode correr o risco de ter uma vulnerabilidade não corrigida que permanecerá como uma ameaça o tempo todo.
Antes de fazer um teste de penetração, é recomendável que você coloque o escopo do projeto por escrito. Você deve ter clareza sobre o que será testado. Por exemplo -
Sua empresa possui uma VPN ou qualquer outra técnica de acesso remoto e você deseja testar esse ponto específico.
Seu aplicativo tem servidores web com bancos de dados, então você pode querer testá-lo para ataques de injeção de SQL, que é um dos testes mais cruciais em um servidor web. Além disso, você pode verificar se o seu servidor web é imune a ataques DoS.
Dicas rápidas
Antes de prosseguir com um teste de penetração, você deve manter os seguintes pontos em mente -
Primeiro entenda seus requisitos e avalie todos os riscos.
Contrate uma pessoa certificada para conduzir o teste de penetração porque eles são treinados para aplicar todos os métodos e técnicas possíveis para descobrir possíveis lacunas em uma rede ou aplicativo da web.
Sempre assine um acordo antes de fazer um teste de penetração.