fbpx

O estudo “International Business Report – The Global Impact of Cyber Crime”, feito pela consultoria Grant Thornton, apontou que, em 2016, os prejuízos globais com ataques virtuais foram de US$ 280 bilhões. A pesquisa envolveu 2500 líderes de organizações de 36 economias. Nesse contexto, toda empresa que tem um processo de segurança em TI que envolve teste de invasão tem chances de reforçar a proteção de seus sistemas e se prevenir desses ataques.

Para ajudar você a também implantar esse procedimento, a seguir, separamos informações sobre como ele funciona, qual a forma de executá-lo corretamente e o passo a passo para isso. Confira!

O que é o teste de invasão?

Um teste de invasão corresponde a um grupo de procedimentos, softwares de segurança e técnicas de hacking empregados para analisar a segurança de um sistema tecnológico. Isso envolve:

  • computadores e notebooks;
  • servidores;
  • componentes de rede;
  • bancos de dados
  • Aplicações
  • aplicações de e-mail, entre outros itens que integram um ambiente onde são processados dados.

Suas atividades têm o propósito de conseguir acesso restrito ou irrestrito ao sistema testado de modo a analisar como eles agem durante ataques cibernéticos externos. Suas ações também visam mapear vulnerabilidades, descobrir brechas e pontos comprometidos e identificar quais variedades de ataques possuem mais chances de sucesso.

Em geral, há três tipos de testes de invasão:

BlackBox

O teste é feito às cegas, de modo que quem está avaliando não terá acesso a nenhum dado ou informação sobre a estrutura tecnológica e os sistemas do cliente. Se o teste for externo, apenas o domínio a ser analisado será fornecido. Se for interno, então é providenciado o acesso a um determinado ponto de rede.

Essa abordagem costuma ser a mais solicitada, já que representa de modo mais fiel uma situação de ataque virtual. Isso porque o mais comum é que um agressor externo realize múltiplos ataques coordenados a um domínio sem que tenha conhecimento prévio de toda a estrutura tecnológica por trás desse sistema alvo.

WhiteBox

Todas as informações em relação a sistemas e infraestrutura tecnológica da organização são entregues de modo a se obter uma análise mais ampla e precisa.

GrayBox

Nessa modalidade, o teste de invasão é feito com algumas informações sobre o parque tecnológico da empresa, para que quem testa explore melhor determinados pontos.

Como funciona um teste de invasão?

O teste de invasão pode ser feito pelos próprios profissionais da empresa ou por uma consultoria de TI especializada nesse tipo de procedimento.

Por exemplo, se for contratado um profissional externo, como um auditor, o teste de invasão se inicia pelo levantamento do máximo de informações gerais sobre a empresa. Após isso, ele costuma procurar dados específicos da infraestrutura utilizada, como tipo de rede, programas e forma do sistema operar.

Em seguida, ocorre a etapa de escaneamento, quando o auditor realiza uma varredura à procura de vulnerabilidades, visando executar a invasão e roubar dados. No final do processo, ele tenta limpar rastros e pistas que possam denunciar o ataque, além de montar uma análise sobre os resultados conseguidos.

Ele também apontará falhas existentes e orientará sobre que providências tomar para corrigi-las de modo a evitar novas intrusões.

Quais os tipos de ataques que podem ser executados no teste?

Um bom teste de invasão procura utilizar tipos diferentes de ataques virtuais, tendo o propósito de simular tudo o que um cibercriminoso poder fazer. Um hacker, por exemplo, costuma usar práticas de engenharia social, uma técnica em que se faz uso da persuasão para extrair informações de usuários para acessar computadores de uma empresa. Para isso, ele pode abusar da confiança, ingenuidade ou falta de conhecimento técnico das pessoas para enganá-las.

O propósito dessa técnica é fazer com que os usuários realizem determinadas ações ou repassem informações sigilosas. Um exemplo comum é quando um hacker finge ser colaborador da empresa, geralmente de nível hierárquico elevado ou de função importante, para solicitar dados.

Quem aplica o teste pode executar outros métodos de invasão usados por hackers, como ficar próximo à empresa para tentar acessar uma rede sem fio ou até enviar phishing para que os usuários contaminem as máquinas com malwares. Eles permitem que o hacker tenha acesso facilitado à empresa e, a partir disso, ataque os pontos mais importantes na companhia.

Isso é conhecido como “ataque lateral”, em que o cibercriminoso realiza um ataque a um sistema menos crítico e pouco cuidado pela empresa, do qual acessa os sistemas críticos de maneira facilitada.

Existe um tipo de ataque lateral que se aproveita do fato de, em muitos casos, os usuários manterem senhas padronizadas e iguais nos sistemas empresariais e nos sistemas de uso pessoal. O hacker pode fazer uma pesquisa nesses ambientes pessoais ou em portais e blogs que eles usam e que possuem segurança baixa.

Neles, é mais fácil obter as senhas dos funcionários, as quais podem ser testadas nos sistemas corporativos para ver se funcionam. Muitas vezes se obtém sucesso nesse procedimento.

Qual é o passo a passo do planejamento de um teste de segurança?

Para entender melhor sobre como é feito um teste de invasão, separamos a seguir um passo a passo de como ele pode ser executado. Veja:

Diagnóstico das vulnerabilidades e análise de rede

Nessa etapa, realiza-se um teste de penetração nos sistemas e na rede corporativa de fora para dentro (externo à rede) e, às vezes, internamente. O objetivo é mapear as condições da infraestrutura de TI e descobrir quais vulnerabilidades internas têm chances de serem exploradas.

Essa ação ajuda a analisar a eficácia das camadas de segurança que a empresa usa, visando identificar quais conseguiram bloquear o ataque.

Planejamento e estruturação do teste

É preciso planejar e organizar o teste de invasão tal como um projeto de implantação de um sistema técnico, de modo que suas atividades sejam adequadamente previstas e avaliadas. É necessário contar com recursos relacionados ao gerenciamento de projetos para prosseguir o procedimento de forma adequada.

Verificação do tempo disponível

Mesmo contando com todos os recursos necessários para o teste, como softwares e informações sobre a infraestrutura da empresa, um teste de invasão organizado exige um mínimo de tempo.

São muitas nuances a serem planejadas, objetivos que precisam ser alinhados e detalhes requeridos pela equipe de invasão que devem ser atendidos antes de começar. Portanto, é necessário reservar um período para preparação e outro para a execução do teste.

Desenvolvimento de um plano de comunicação e alinhamento de funções

Caso o teste englobe profissionais de diferentes áreas, busque escolher previamente quem estará envolvido no teste. Além disso, certifique-se de que os integrantes da equipe de resposta e contenção a incidentes de segurança em TI saibam do teste e de suas atividades. Dessa forma, também podem obter aprendizados, além de escalar os resultados de modo adequado.

Exploração de contextos e cenários distintos

É importante não só testar pontos comuns, mas pôr em prática ideias e teorias sobre possíveis vulnerabilidades. É preciso pensar e tentar analisar brechas não descobertas ainda, para que se esteja preparado caso sejam encontradas e atacadas por invasores.

Plano de controle e monitoramento

É necessário planejar procedimentos e escolher ferramentas de controle e monitoramento durante o teste de invasão. Isso permite a coleta de dados sobre o que ocorre na rede, além de diagnósticos sobre como se comportam os programas de segurança.

Detalhes e contextos nos resultados do teste de invasão

É indicado fornecer muitos detalhes quando for coletar e estruturar os resultados em forma de relatório, especificando contextos e outras nuances que surgiram durante o teste de invasão. Isso permite que a equipe responsável pela segurança de TI consiga entender sob quais circunstâncias os sistemas de proteção falharam e quando obtiveram êxito.

Comunicação dos resultados

Os resultados precisam ser apresentados de maneira específica para a equipe de TI, ou seja, para os técnicos responsáveis por corrigir e fortalecer a segurança da informação e dos sistemas.

Para os executivos, é indicado resumir as análises e buscar quantificar em valores os riscos a que eles estão submetidos para que possam direcionar investimentos à proteção dos sistemas corporativos. Entregue também uma avaliação com os impactos dos riscos existentes e quais atitudes são necessárias para conter as invasões, ou seja, procedimentos necessários a um plano de contenção.

Expanda seus testes

Procure executar outros testes de segurança para fortalecer a proteção de dados na empresa, como testes de acesso físico, e a redes sem fio. Também avalie aplicações online e sites externos com base em seus planos e análises de risco.

De quanto em quanto tempo o teste deve ser refeito?

É essencial que o teste de invasão seja feito periodicamente, pois o número de ataques cibernéticos e tentativas de intrusão tem crescido no mundo todo. Busque realizar a verificação, no mínimo, uma vez por ano ou toda vez que um sistema, software importante ou elemento de infraestrutura sofrer modificações.

Analisar frequentemente a estrutura de segurança de uma organização é fundamental para manter íntegros e protegidos os dados empresariais, dos clientes e dos colaboradores.

A perda de informações não só compromete a segurança e a credibilidade do negócio, como também pode gerar prejuízos devido ao vazamento de conteúdos sigilosos. Também há chances de processos judiciais de clientes que tiveram informações comprometidas.

Para otimizar os testes de invasões na sua empresa, é interessante contratar os serviços de uma consultoria tecnológica que ofereça esse tipo de serviço. Dessa forma, sua equipe interna de TI poderá trabalhar com profissionais mais experientes na área. Isso pode ocasionar a troca de conhecimentos importantes não só sobre esse procedimento, como em relação às melhores práticas de segurança virtual.

Ficou com alguma dúvida sobre como executar adequadamente um teste de invasão? Então entre em contato com nossa equipe para que possamos ajudá-lo!