9 tipos diferentes de teste de penetração [usado em 2021]

No mundo corporativo de hoje, a segurança se tornou o problema mais comum. Todos os dias, ouvimos sobre como invasores hackearam sistemas de computador e roubaram todas as informações cruciais.

Em 2019, houve 1.473 violações de dados relatadas nos Estados Unidos, com mais de 164 milhões de registros confidenciais expostos. No primeiro semestre de 2020, o número de violações de dados chegou a 540. - Relatório do Statista

Para detectar fraquezas e vulnerabilidades de segurança, muitas grandes empresas realizam um ataque cibernético simulado autorizado em seu próprio sistema. Isso é o que chamamos de teste de penetração (Pen Test para breve). Basicamente, o objetivo é identificar vulnerabilidades e fraquezas de segurança antes do hacker cibernético e corrigi-los o mais rápido possível.

Mais especificamente, o teste de penetração envolve a simulação de cenários de ataque do mundo real para localizar e explorar brechas de segurança (de maneira segura) que podem levar ao roubo de informações, comprometimento de credenciais ou outros resultados comerciais prejudiciais.

Ele pode ser realizado internamente por meio da ferramenta de teste de penetração ou terceirizado para um provedor de teste de penetração. O processo geralmente começa com um profissional de segurança enumerando a rede de destino para detectar dispositivos ou contas vulneráveis. Isso significa examinar cada dispositivo da rede em busca de portas abertas com serviços em execução.

O nível de intrusão depende de que tipo de operação o testador de segurança deseja explorar no sistema de destino. Portanto, o testador deve ter um bom conhecimento do tipo mais relevante de pen test.

Os testes de penetração podem ser classificados com base em como são realizados, bem como os ativos e componentes que estão sendo direcionados. Neste artigo de visão geral, explicamos os diferentes tipos de teste de penetração que são projetados para serem intensos e invasivos.

Teste de penetração com base nos métodos usados ​​

1. Teste de caixa preta

• Casos de teste podem ser projetados imediatamente
• Pode detectar certos tipos de falhas

No teste de penetração de caixa preta, o testador não tem acesso ao aplicativo do cliente, configuração de rede ou qualquer tipo de informação interna. Ele / ela realiza todo o reconhecimento para extrair as informações necessárias.

Esse tipo de teste determina os pontos fracos de um sistema que podem ser explorados de fora da rede. Encontrar esses pontos fracos depende da inspeção dinâmica dos programas e sistemas em execução na rede de destino.

O testador deve estar familiarizado com software de escaneamento automatizado e diferentes técnicas de teste de penetração manual. Como não há conhecimento prévio da configuração do sistema ou do código-fonte do aplicativo, o testador de penetração da caixa preta deve ser capaz de construir seu próprio mapa da rede alvo com base em observações pessoais.

O conhecimento limitado impede que o testador encontre todas as vulnerabilidades do sistema. Essa é a principal desvantagem desse tipo de teste. Se os testadores não conseguem violar todos os perímetros, as vulnerabilidades internas permanecem desconhecidas.

No entanto, ele pode descobrir certos tipos de falhas, como erros de configuração do servidor e erros de validação de entrada / saída. Para ter sucesso (detectar e corrigir com eficiência mais vulnerabilidades), as metodologias de teste de caixa preta devem ser combinadas com outras ferramentas de teste.

Existem muitas ferramentas disponíveis no mercado para a realização de testes de penetração da caixa preta. Wapiti, por exemplo, analisa aplicativos da web em busca de responsabilidades potenciais, injetando dados temporários.

2. Teste de caixa branca

• Mais abrangente
• Permite a otimização de código e detecção de problemas de segurança ocultos

Como o nome sugere, o teste de penetração da caixa branca é o oposto do teste da caixa preta. O testador tem acesso completo à documentação da arquitetura, código-fonte e outras informações do sistema.

Os testadores vasculham um grande volume de dados disponíveis para detectar pontos potenciais de fraqueza. Eles podem usar analisadores e depuradores de código estáticos e dinâmicos para esse tipo de teste.

Como os testadores têm conhecimento completo do sistema, leva mais tempo para decidir quais módulos devem ser testados primeiro e qual software específico deve ser usado para conduzir o teste.

JUnit, PyUnit, Selenium são algumas das ferramentas de teste de caixa branca de código aberto mais populares. Selenium, por exemplo, é usado para validar aplicativos da web em vários navegadores e plataformas.

3. Teste de caixa cinza

• Identifica vulnerabilidades mais significativas com menos custo e esforço
• O teste é realizado do ponto de vista do usuário, e não do designer

Esta é a combinação dos testes de penetração de caixa preta e caixa branca. O pen tester da caixa cinza tem algum conhecimento das partes internas do sistema, como banco de dados e documentos de design. Com esse conhecimento limitado, ele pode fazer melhores dados de teste e casos de teste enquanto prepara um plano de teste.

Este tipo de teste fornece uma avaliação mais eficiente e focada da segurança do sistema em comparação com a avaliação da caixa preta. Ele pode identificar os defeitos devido ao uso impróprio de aplicativos ou estrutura de código inadequada. Mais especificamente, ele descobre os erros específicos do contexto, concentrando-se em todas as camadas de sistemas complexos.

O teste de caixa cinza é mais adequado para teste funcional, aplicativos da web, serviços da web, avaliação de segurança e GUI. Burp Suite é uma das ferramentas de teste de caixa cinza populares que exploram vulnerabilidades de aplicativos, atacando os pontos inseguros provisórios.

Diferentes entre essas três técnicas de teste

Teste de penetração da caixa preta	Teste de penetração da caixa cinza	Teste de penetração da caixa branca
Nenhum conhecimento do funcionamento interno do sistema é necessário	É necessário conhecimento parcial do funcionamento interno do sistema	É necessário conhecimento completo do funcionamento interno do sistema
Muito difícil de descobrir erros ocultos	Difícil de descobrir erros ocultos	Simples de descobrir erros ocultos
Também conhecido como teste de caixa fechada ou teste orientado a dados	Também conhecido como teste translúcido	Também conhecido como teste de caixa clara, teste estrutural ou teste baseado em código
Menos demorado	Parcialmente demorado	Mais abrangente e demorado
Melhor para encontrar erros de validação de entrada / saída	Mais adequado para domínios de dados de teste e design de sistema	Mais adequado para testar algoritmos, estrutura de código e limites internos
Os testes são conduzidos por usuários finais, desenvolvedores e testadores	Os testes são realizados por testadores e desenvolvedores independentes	Os testes são realizados por testadores e desenvolvedores

Teste de penetração com base em componentes direcionados

1. Teste de serviços de rede

• Previne violações de rede e dados
• Garante a segurança da rede e do sistema

O processo de teste de penetração de rede envolve a descoberta de vulnerabilidades de segurança em aplicativos e sistemas usando diferentes métodos maliciosos para examinar a segurança da rede.

Normalmente, o testador identifica redes, hosts, sistemas e dispositivos exploráveis ​​(como switches e roteadores) para descobrir pontos fracos. Como uma rede possui pontos de acesso externos e internos, é obrigatório realizar testes remotamente do mundo externo e localmente no site do cliente.

Isso ajuda os testadores a entender o nível de risco com o qual a organização está lidando e como abordar e corrigir as falhas de segurança. Dependendo do risco, eles podem ter como alvo diferentes áreas de rede em seus testes. Por exemplo, eles podem realizar:

• Teste de análise de estado
• Teste de configuração de firewall
• Teste de desvio de firewall
• ataques DNS

O protocolo mais comum investigado nesses testes inclui:

• Protocolo Simples de Transferência de Correio (SMTP)
• Protocolo de transferência de arquivos (FTP)
• Secure Shell (SSH)
• MySQL e SQL Server

Dependendo do tamanho e da complexidade do sistema, pode levar de uma a quatro semanas para concluir um teste de penetração na rede. Os testadores podem oferecer uma estimativa detalhada somente após definir o escopo do projeto.

2. Teste de caneta de aplicativo da web

Etapas para realizar um teste de caneta de aplicativo da web

• Identifica vulnerabilidade tanto no design quanto na configuração
  Localiza intrusos e os bloqueia

Como muitos aplicativos da web contêm informações confidenciais, é necessário mantê-los protegidos o tempo todo. Uma maneira de fazer isso é incluir o teste de penetração do aplicativo da web como parte do Ciclo de Vida de Desenvolvimento de Software (SDLC).

Os testes de caneta facilitam a determinação de vulnerabilidades de todos os aplicativos da web e de seus componentes, incluindo seu banco de dados, rede de back-end e código-fonte. Isso ajuda os desenvolvedores a identificar e priorizar os pontos fracos e os erros e encontrar maneiras de mitigá-los.

Esse tipo de teste envolve a coleta de dados sobre o aplicativo da web de destino, mapeando a rede do host e examinando todos os pontos possíveis de injeção ou ataques de adulteração. Os principais motivos para realizar o teste de caneta de aplicativo da web são:

• Detecte vulnerabilidades desconhecidas
• Verifique os componentes expostos publicamente, como roteadores e firewalls
• Encontre a rota mais vulnerável para um possível ataque
• Procure brechas que possam resultar em roubo de informações
• Verifique a eficácia das políticas de segurança existentes

Muitas ferramentas estão disponíveis no mercado para conduzir testes de penetração de aplicativos da web (manuais e automatizados). Vega, Veracode e Zap são alguns dos mais comuns para a realização de testes rápidos.

3. Teste de caneta sem fio

• Determina a postura realista de segurança de redes sem fio
• Lida com vulnerabilidades e políticas / procedimentos de segurança

O teste de penetração sem fio envolve a detecção e análise das conexões entre todos os dispositivos conectados ao WiFi da empresa. Isso inclui laptops, smartphones, tablets, impressoras e outros dispositivos da Internet das Coisas (IoT).

Vários protocolos sem fio e pontos de acesso sem fio são testados para descobrir brechas de segurança. Normalmente, esses testes são realizados no local do cliente porque o testador precisa estar na faixa de sinais sem fio para acessar o dispositivo.

Na maioria dos casos, as vulnerabilidades são encontradas em pontos de acesso wi-fi devido à falta de filtragem MAC e controles de acesso de rede insuficientes. Para remediar esses problemas antes que eles aconteçam de verdade, é crucial testar a eficácia da postura de segurança para expor os pontos fracos não intencionais.

Também é importante ter em mente que WiFi não é a única tecnologia sem fio que os invasores podem explorar. Existem vários dispositivos Bluetooth, dispositivos Bluetooth de baixa energia e outras tecnologias menos populares, como Z-wave e DECT (telefone sem fio), encontrados em público.

4. Teste de penetração do lado do cliente

• Detecta configurações incorretas de segurança no software do lado do cliente
• Permite o controle adequado do tráfego de rede de entrada e saída

Este é um Pen Test interno em que os testadores exploram vulnerabilidades em programas de aplicativos do lado do cliente, como navegadores da web, Adobe Acrobat, clientes de e-mail, Macromedia Flash, etc.

Embora não haja uma regra para a realização de tais testes em intervalos específicos, as empresas devem realizar pen tests quando uma nova infraestrutura de TI ou aplicativos do lado do cliente são adicionados ou quando a infraestrutura existente é alterada.

A maioria das vulnerabilidades do lado do cliente ocorre devido ao software não corrigido instalado em laptops ou desktops. Alguns invasores até interceptam o processo de atualização, enviando código malicioso junto com a atualização original.

Os dispositivos USB também estão infectados com arquivos maliciosos ou códigos executáveis. Esses arquivos são executados automaticamente assim que a vítima conecta o USB à sua máquina. Cross-site scripting, sequestro de formulário, clickjacking, injeção de HTML e redirecionamento aberto são alguns dos ataques de segurança mais comuns do lado do cliente.

É por isso que é importante testar a suscetibilidade dos funcionários e a capacidade das redes de reconhecer e responder a ataques do lado do cliente.

5. Teste de caneta externa

• Uma avaliação de segurança dos sistemas de perímetro de uma empresa
• Inclui avaliações tanto da camada de aplicativo quanto da camada de rede

O teste de penetração externa geralmente testa da perspectiva do invasor, sem acesso prévio ao sistema ou rede alvo. Isso é diferente do teste de caneta interno, no qual o invasor já tem um ponto de apoio na máquina comprometida.

No teste de caneta externa, o testador tenta obter acesso à rede interna aproveitando as vulnerabilidades encontradas nos ativos externos. Ele / ela realiza o reconhecimento dos ativos em escopo, coletando dados sobre todos os ativos em escopo.

Esses dados podem incluir portas abertas, vulnerabilidades ou informações de funcionários para ataques de senha. Uma vez que o perímetro é violado, o objetivo do teste de penetração externa é alcançado e o testador prossegue para o teste da caneta interna.

Leia:30 ferramentas úteis de rastreamento de bugs para desenvolvedores

6. Engenharia Social

• Convencer funcionários desavisados ​​a comprometer a segurança da empresa
• Explore a psicologia humana para obter dados confidenciais

O termo engenharia social é usado para uma ampla gama de atividades maliciosas realizadas por meio de interações humanas. Uma vez que depende de erro humano (em vez de fraqueza em aplicativos ou redes), é menos previsível e mais difícil de detectar do que intrusões baseadas em malware.

Esses tipos de testes envolvem a tentativa de obter dados confidenciais enganando os funcionários da empresa para que revelem informações confidenciais. Isso pode ser alcançado por meio de testes remotos ou físicos.

Leia:15 melhores ferramentas de geração de dados de teste

O teste remoto envolve o envio de e-mails de phishing para funcionários ou o bombardeio de seus dispositivos com alarmes falsos ou ameaças fictícias. Em contraste, o teste físico inclui utilização não autorizada, falsificação de identidade, lixeira, ameaças físicas, etc.