Afinal, o que é Pentest (Penetration Test)?

Pentest é derivação regressiva de Penetration Test, traduzindo para o português, Teste de Penetração, sim, eu sei, submete a pensamentos sórdidos, mas este é o processo que permite melhorar a segurança contra ataques de pessoas mal intencionadas.
Visão geral sobre o Pentest
O Teste de Intrusão é um processo de análise detalhada do nível de segurança
de um sistema ou rede usando a perspectiva de um infrator. Trata-se de um teste
realista ao nível de segurança das infra-estruturas e da informação que estas detêm.
No Teste de Intrusão são testadas vulnerabilidades técnicas e conceituais das infra-
estruturas alvo.
O objetivo principal é simular de forma controlada um ataque real que
normalmente é executado por criminosos. Desta maneira é possível ter o
conhecimento total do que poderia acontecer caso esse ataque realmente existisse,
garantindo assim a possibilidade de uma estratégia de prevenção.
Tipos de Pentest
Blind:
Nessa modalidade o auditor não conhece nada sobre o alvo que irá atacar,
porém o alvo sabe que será atacado e o que será feito durante o teste.
O grande risco desse tipo de teste, é que o alvo pode avisar a equipe de TI e
decidirem fazer atualização do sistema, aplicar patchs de correção e segurança. Esse
tipo de pentest é interessante para ter conhecimento de como e quais informações
sobre a organização e sua infraestrutura é possível de um atacante ter acesso.
Double blind:
Nessa modalidade o auditor não conhece nada sobre o alvo, e o alvo não sabe
que será atacado e tão pouco sabe quais testes o auditor irá realizar.
É o método de pentest mais realista possível, aproximando-se de um ataque
real, pois ambas as parte, auditor e alvo, não sabem com o que irão se deparar.
Afinal, em um ambiente real, o atacante não sabe nada inicialmente sobre seu alvo, e
o alvo nunca saberá qual tipo de ataque um cracker pode realizar contra sua
Gray Box:
Nessa modalidade o auditor tem conhecimento parcial do alvo, e o alvo sabe
que será atacado e também sabe quais testes serão realizados.
Aproxima-se de um teste onde é simulado o ataque de dentro de um ambiente
completamente monitorado e controlado.
Tandem:
Nessa modalidade o auditor tem total conhecimento sobre o alvo, o alvo sabe
que será atacado e o que será feito durante o ataque. Também conhecido como
“caixa de cristal”.
Esse tipo de pentest é bem próximo de uma auditoria, pois ambos estão
preparados e sabem o que vai ser realizado. É o ideal para ser feito periodicamente,
monitorando as vulnerabilidades novas e mudanças feitas na infraestrutura.
Reversal:
Nessa modalidade o auditor tem conhecimento total do alvo, porém o alvo não
sabe que será atacado, e tão pouco sabe quais testes serão executados.
Esse formato de teste é ideal para testar a capacidade de resposta e como
está o timing de ação da equipe de resposta a incidentes do alvo.
As fases de um ataque:
Um ataque, ou teste de invasão, é composto por uma série de fases, onde em
cada uma determinadas operações são realizadas.
O que vai definir a diferença de um teste de invasão e um ataque realizado por
um cracker, são justamente a intenção, o escopo e o espaço de tempo disponível para o mesmo.
As fases básicas de um ataque são explicadas a seguir.
1-Levantamento de Informações:
Essa é a fase mais importante de um ataque e de um teste de invasão.
Baseado no que é descoberto nessa fase, todo o planejamento é realizado e os
vetores de ataque definidos. Essa fase prossegue na fase seguinte, onde as
informações iniciais são estendidas, de forma mais detalhada.
Podemos dizer que essa é a fase abrangente, e a fase seguinte detalha as
informações adquiridas nessa primeira fase.
Qualquer informação que seja vinculado ao alvo é considerada de valor nesse
primeiro passo:
● Concorrentes
● Nome de funcionários
● Endereços
● Telefones
● Empresas
● Comunidades sociais
● Empresas do mesmo grupo e etc.
2-Varredura:
Nessa fase o atacante busca informações mais detalhadas o alvo, que posam
permitir definir seus vetores de ataque e enxergar as possibilidades que podem
permitir ganhar acesso ao sistema, através da exploração de alguma falha
encontrada.
Aqui buscamos informações que respondam algumas perguntas, como por
exemplo:
● Qual sistema operacional o alvo utiliza?
● Quais os serviços estão sendo executados no alvo?
● Quais serviços estão disponíveis para acesso?
● Qual a versão de cada serviço sendo executado?
● Há IDS/IPS na rede?
● Há honeypots na rede?
● Há firewall na rede?
● Existe uma rede interna e outra externa, como uma DMZ?
● Há serviços com acesso público rodando em alguma máquina?
● Há algum software malicioso já sendo executado em alguma máquina?
A partir dessas informações, o atacante pode buscar maiores detalhes na
internet ou fóruns especializados em busca de exploits que permitam explorar falhas
existentes nas versões dos serviços sendo executados.
3-Ganhando acesso:
Aqui o atacante coloca em prática tudo aquilo que planejou a partir das
informações obtidas previamente.
Dependendo de seus vetores de ataque, ele pode realizar uma série de
ataques buscando ganhar acesso ao sistema alvo, como por exemplo:
● Ataques de força bruta local
● Ataques de força bruta remoto
● Captura de tráfego de rede
● Ataque de engenharia social
● Ataques às aplicações WEB
● Exploração de serviços
● Exploração de sistema operacional
Conseguindo acesso ao sistema, o atacante realizará uma série de operações
buscando a elevação de seus privilégios caso o mesmo já não seja de root.
4-Mantendo acesso:
Após conseguir o acesso, o atacante busca, de alguma forma, manter o acesso
conseguido através de seus ataques. Isso normalmente não é utilizado por um pentester, a não ser que seja extremamente necessário.
O risco de configurar o sistema, implantando backdoors ou outro tipo de
dispositivo que permita o acesso posterior, é que a ferramenta utilizada pode voltar-
se contra você, pois outras pessoas podem descobri-la, explorá-la e ganhar acesso
facilmente ao sistema comprometido.
Portanto, essa fase, quando realizada durante um teste de invasão, precisa de
extremo cuidado e planejamento para não trazer comprometimentos e prejuízos
5-Limpando rastros:
Nessa fase final do ataque, o atacante apaga todos os seus rastros, todos os
registros de operações realizadas dentro do sistema comprometido.
Como o pentester tem autorização para realizar os testes, não é necessário
apagar rastros. Isso se torna importante para um pentester, apenas se quiser testar,
também, a capacidade da equipe de perícia forense e respostas a incidentes de
descobrir o que foi feito e recuperar informações alteradas.
Categorias de ataques:
Há vários tipos de ataque possíveis de serem realizados. Podemos dividir tais
ataques em dois grandes grupos:
Server Side Attacks:
Server Side Attack ou ataque ao servidor foca na tentativa de explorar
serviços que estão em execução em um determinado dispositivo. Normalmente não
precisam de interação do usuário e provê uma Shell remota para o atacante.
● São exemplos de ataques a servidores:
● Ataques a servidores WEB
● Ataques a servidores de e-mail
● Ataques a servidores DNS
● Ataques a serviços RPC
Client Side Attacks:
Client Side Attacks ou ataques ao cliente foca na tentativa de explorar
aplicações que são executadas no computador e que normalmente precisam de uma
interação da pessoa para que o ataque seja executado.
São exemplos de ataques ao cliente:
● Exploração de falhas no Internet Explorer
● Exploração de falhas em editores de texto
● Exploração de falhas em Clientes de E-mail
● Exploração de falhas em programas reprodutores de vídeo
Nesses casos, o cliente precisa visitar um site, ou abrir um e-mail, ou então
abrir um arquivo que explorará a aplicação que está instalada no computador do
cliente.
Packs como Mpack e IcePack exploram vulnerabilidades em navegadores
webs, ou seja, realizam um client side attack.
Se gostou comente, meu pagamento é seu comentário, valorize o site agradeça.
O estímulo é meu , a reação é sua, o Site é nosso.

Share on Google Plus

About Canal TheEvolutionTecH

Quem Sou? Apenas mais um fã da grande rede , um maluco pela internet que passa grande parte do tempo conectado sempre a procura de novidades online , e sempre achando já que a rede é movida por novidades. ""
    Blogger Comment

0 comentários:

Postar um comentário