Tipos de teste de penetração: o quê, o porquê e o como
Pentest como aliado à adequação da LGPD
Você sabia que um Pentest, ou teste de penetração pode resultar em descobertas muito diferentes, dependendo de quanta informação o analista de teste recebe para a avaliação? Como resultado, nem todos os testes de penetração são iguais.
Esta postagem analisa o quê, o porquê e o como dos testes de penetração para ajudá-lo a determinar qual tipo é melhor para o seu negócio.
Como são realizados os testes de penetração?
Um teste de penetração pode ser dividido em três etapas:
Teste / Exploração
Ao contrário de um invasor real, os testadores de penetração têm um determinado número de horas usadas para testar um determinado ambiente. Por isso, você, como cliente, deve tomar uma decisão - onde deseja que a maior parte do tempo do analista seja despendida: Pesquisa ou Teste / Exploração? (O tempo gasto na documentação é estático, independentemente das circunstâncias do teste.) Você tem o máximo controle sobre a precisão e a quantidade de informações que o analista recebe antes da avaliação, o que afetará drasticamente o tempo necessário para a pesquisa.
Por que minha empresa deve fazer um teste de penetração?
A maioria dos ambientes é projetada, construída e mantida por funcionários com pouca ou nenhuma experiência profissional em segurança. Um teste de penetração é realizado por um especialista em segurança treinado para identificar e documentar problemas que estão presentes em um ambiente. O relatório resultante pode dar a você a oportunidade de corrigir os problemas antes que eles sejam explorados por um invasor real.
O PCI DSS também exige que as empresas testem os controles de segurança anualmente e realizem verificações de segmentação a cada seis meses. Avaliações subsequentes sobre esses controles também devem ser feitas após qualquer alteração importante.