Para sabermos o que é Pentest e por que
teoricamente todas as “médias” e “grande empresas” deveriam
realizar periodicamente esse tipo de Auditoria de Segurança, devemos
voltar um pouco e entender o que é “Segurança da Informação,
“quais são seus 3 pilares” e quais são os tipos de“auditorias
de Segurança da Informação”.
Mãos a obra:
Segurança Informação:
Informação: É
um conjunto de dados(letra e número) que podem ser unidos e
organizados, formando as “palavras” que por sua fez tornam se
frases, textos e assim por diante. Uma informações pode ser
sigilosa ou não, cabe definir qual a sua classificação. Quando
falamos de Segurança da Informação estamos falando de um assunto
extremamente complexo e que envolve um leque de seguimentos, no que
tange segurança em uma empresa, por exemplo, estamos envolvendo uma
serie de preocupações perincipalmente “concorrência” e o
“segredos de sucesso”, imagine que alguém obtenha acesso
deliberado sobre esses dados, nesse caso a Segurança da Informação
assume um papel extremamente muito importante, que nada mais é que a
proteção destes, seguindo um contexto que envolvem normas e
procedimentos que mitigam os riscos.
Os 3 Pilares da Segurança da Informação:
Existem 3 pilares que servem de base para qualquer
um que deseja tratar uma informação:
- Confidencialidade: Garante que a informação
seja confidencial, ou seja, ninguém que não deva saber, tem
conhecimento sobre a mesma;
- Integridade: Garante que a informação
seja integra, ou seja, não violada, que não possua alterações;
- Disponibilidade: Garante que a informação
esteja disponível, ou seja, que ela não tenha sido retirada do seu
lugar;
Auditoria:
É um tipo de exame, que consiste em analisar e
intender o funcionamento de um sistema, para verificar se condiz com
o proposto. As auditorias em si, são baseadas em normas,
conhecimentos, estudos e fatos que formam o Auditor. há vários
tipos de auditorias de Segurança da Informação; Os principais:
Teste de Vulnerabilidades, de Conformidade, Políticas de Segurança
e o Teste de Penetração(Pentest).
-Teste de Vulnerabilidades
Vulnerabilidades são brechas(Buracos) que podem
possibilitar ao atacante acesso a determinada parte do sistema. Nesse
tipo Teste são utilizadas ferramentas que avaliam as
vulnerabilidades das aplicações.
- Teste de Conformidade
Avalia se a empresa segue os padrões e as
políticas de segurança pré-definidas conforme a sua checklist.
- Teste das Políticas de Segurança:
Testa se as
Politicas estão de acordo com a realidade, um
exemplo: “Não deve se ultilizar de pendrives nas estações”,
agora vamos colocamos
um pendrive em uma estação
qualquer, e
checamos se a estação
aceita o uso de pendrive ou
não,
confirme descrito.
- Teste de Invasão
Conhecido como “Penetration Test”(Teste de
Penetração) e para os íntimos “Pentest”, seu principal
objetivo é saber se a estrutura de um “Sistema de Rede” onde
esta sendo realizado a auditoria, esta suscetível ou não a
invasões.
Por que Realizar um Pentest?
Quando falamos
de Segurança, estamos pondo em risco toda a nossa estrutura, mais
precisamente os 3 Pilares da Segurança, os
pentes trazem ventagens,
diferente
do os outros testes,
conseguimos eliminar
muitos falsos positivos e falsos negativos, por
exemplo, se na
politica de Segurança da
empresa, diz assim:
“ Não deve se utilizar de forma alguma o “Facebook” em horário
comercial”, será que
realmente não conseguimos
acessar “Facebook”
na posição de um
colaborador malicioso no
horário comercial? Com
isso podemos ver na integra
se o sistema esta suscetível ou não a invasão.
Dentro
de um
Pentest abrimos um outro leque de testes para simular os diferentes
tipos de ataques: Ataques
como negação de serviço, ataques
a servidores, quebras de senha, capturas de senha, acesso arquivos
específicos, segurança
em
rede sem fio, ataque
aos seres humanos entre
outros.
No cenário de
mercado a segurança da informação aqui Brasil ainda não é muito
forte, por causa da falta de preocupação e do desconhecimento de
grande parte das empresas, geralmente porque
elas não
têm essa visão de segurança por conta de
nunca terem algum problema relacionado, outra grande parte é por
causa do investimento que as
vezes pode sair caro. Entretanto
esse cenário pode mudar com o passar do tempo, graças
a cultura de
informação
da internet.
