Pentest – Os Testes de Intrusão

Home Pentest – Os Testes de Intrusão

A cada ano aumenta o interesse na área de Ethical Hacking e a atuação como Hacker
profissional e ético, dentro dessa área vamos abordar um pouco o conceito de PenTest e as
atividades praticadas pelo Pen Tester.

O que é PentTest

Significado PenTestO termo PenTest é derivado de Penetration Test, em português a melhor

tradução seria Testes de Intrusão ou de Invasão.

O PenTest é um conjunto de técnicas e ferramentas utilizadas para identificar falhas de

segurança em sistemas e redes corporativas. Através dessas técnicas, o profissional Pentester
irá identificar as vulnerabilidades existentes na arquitetura da empresa, explorá-las e entregar
um relatório à empresa, que deverá então tomar as devidas ações para corrigir as falhas de
segurança.

Apesar de ser uma simulação de um ataque hacker, é importante mencionar que o PenTest é
uma atividade profissional e sobretudo ética. Uma empresa contrata esses serviços para ter
seus sistemas analisados por uma empresa ou profissional qualificado.

Um Pentest não é apenas um scaneamento de portas e vulnerabilidades, ele vai além disso. O
Pentest faz uso de softwares e ferramentas (pentest tools) para explorar as vulnerabilidades
identificadas, buscando identificar que tipo de informação pode ser obtida através daquela
falha.

O Pen Tester

atividades pen testerO profissional especialista nos processos e atividades de um Penetration

Test é denominado PenTester. Ele é também chamado de Auditor Pentest ou até Ethical
Hacker (hacker ético).

O pen tester é um profissional que possui um elevado conhecimento em sistemas operacionais

e redes de computadores e baseado nisso se utiliza de técnicas, ferramentas e softwares para
realizar as suas análises.

É comum que também possua um Certificado internacional em Ethical Hacking. Uma

certificação como esta dá credibilidade ao profissional e comprova que ele realmente atua de
maneira profissional e dentro de princípios éticos.
Tipos de PenTest

Exitem diversos tipos e classificações para as análises de penetration test, dependendo muito
da fonte da informação e da empresa que presta o serviço.

Basicamente esses tipos e sub-classificações diferem nos seguintes termos:

Quantidade de informação que a equipe de pen testers possui antes de iniciar o teste

Origem do teste, interna ou externa, simulando um ataque de fora da rede ou interno

Conhecimento ou não da realização dos testes pelos funcionários internos da empresa

Citando apenas as classifcações mais macro temos os tipos black-box e white-box.

Black-Box

Nesse tipo de análise, considera-se o sistema como uma caixa preta. Ou seja, os Pen Testers
não possuem qualquer tipo de informação sobre a infraestrutura de sistemas e de rede da
empresa que será auditada. Nesse caso haverá um maior tempo gasto na análise inicial,
inclusive uma pesquisa sobre as características da empresa, existência de filiais, os principais
diretores, os serviços prestados, qual a arquitetura da rede e os software utilizados e etc.

Esse é o teste normalmente aplicado para se simular um atacker hacker, externo à empresa.

White-box

Nesse tipo de teste, o PenTester conhece previamente toda a infraestrura que será analisada,
incluindo o mapeamento de rede, o range de IPs, os firewalls e roteadores existentes e etc. É
também comum que o auditor receba um usuário de sistema ou conta de e-mail que é
normalmente utilizada por um funcionário da companhia.

Como o auditor possui todas as informações, é menor o risco de que algum serviço não seja
percebido e devidamente analisado. Além disso todo o trabalho será focado em identificar e
explorar vulnerabilidades, pois não há necessidade de se descobrir informações básicas.
Esse tipo de teste visa também identificar que tipo de atividade pode ser feita indevidamente
de dentro da empresa, por um funcionário ou consultor mal intencionado, buscando
principalmente evitar o acesso e roubo de informações confidenciais.

As Fases de Penetration Test

penetration testUma análise de Pen Test possui fases bem definidas e organizadas,
normalmente divididas em um ciclo de vida. Cada fase possui diferentes etapas e sub-fases.

Vamos abordar aqui as principais delas:

Fase de Reconhecimento: Nessa fase a equipe de Pen Testers realiza o levantamento do

máximo de informações possíveis sobre a empresa analisada. Dados como os serviços
prestados, os principais gerentes e diretores, localização física, existência de filias e etc.

Fase de Varredura: Nesse momento é realizado uma varredura do que está presente na rede.
Por exemplo, o range de IPs que é utilizado, quais os servidores existentes, os sitemas
operacionais utilizados, as portas abertas e etc.

Fase de Obtenção de Acesso e Exploração: Com base no que foi identificado na fase de
varredura, o pentest fará a exploração de cada ítem, efetivamente em busca das
vulnerabilidades existentes. Com o uso de técnicas de exploit e brute force tentará identificar
quais serviços estão vulneráveis e que tipo de informação, falhas ou controles podem ser
obtidos através daquele serviço.

Fase de Obtenção de Evidências e Reporte: As evidências de todas as falhas e vulnerabilidades

identificadas são coletada pela equipe. Com base nessas informações, é gerado um relatório
completo indicando os pontos vulneráveis de todos os elementos da empresa, falhas na rede,
em software mal configurados e desatualizados, falta de elementos de segurança e etc,
indicando inclusive que prejuízos podem ser causados à empresa em cada uma das falhas.

Teoricamente, não é responsabilidade do PenTest indicar como cada falha deve ser corrigido,
isso é responsabilidade da área de TI da empresa. No entanto, algumas empresas e
profissionais acabam prestando esse serviço e dando suas recomendações.

Como um complemento, o vídeo abaixo (em inglês) reforça o que foi explicado neste artigo, e
até adiciona algumas informações bem interessantes:
É possível explorar ainda mais esse assunto através do Curso Pentest – Ethical Hacking, em que
você irá aprender a realizar diversos procedimentos de Teste de Invasão (PenTest), através de
exemplos práticos e reais