Relatório examina as práticas de pentesting - TI INSIDE Online | TI INSIDE Online - SEGURANÇA
Postado em: 15/10/2019, às 17:49	por Redação
Hoje, milhares de organizações, incluindo grandes instituições financeiras, hospitais, seguradoras, agências militares e de inteligência, e empresas de energia e eletricidade colocam seus mais valiosos ativos digitais nas mãos de testadores de brechas, ou pentesters, como são conhecidos.
O relatório "Thin Red Line" tem como objetivo iniciar desmistificar uma série de práticas, subprodutos e efeitos secundários do pentesting, os quais clientes em geral podem desconhecer.
Nas páginas do relatório, a equipe de inteligência dedicada ao estudo de ameaças da BlackBerry Cylance examina o lado mais difícil dessa "fina linha vermelha".
– um estudo de caso de um grupo identificado e caracterizado por uma empresa de segurança como um grupo avançado de ameaças persistentes (APT), que a pesquisa constatou estar, na verdade, operando abertamente como uma empresa de segurança brasileira que oferece serviços de pentesting;
– evidências sugerindo que, embora essa empresa fosse respeitada por alguns clientes, provavelmente também era responsável por extrair mais de 200 megabytes de dados sensíveis de reconhecimento para o sistema de controle de tráfego aéreo de um país – dados que encontramos posteriormente em um repositório semipúblico de malware;
– a ampla exposição de dados de clientes em repositórios semipúblicos, afetando aeroportos, organizações de saúde, grandes instituições financeiras, grandes empresas de tecnologia, governos estaduais e locais, organizações sem fins lucrativos globais, grandes varejistas e agências governamentais federais dos EUA – todas reveladas por malware, phishing e infraestrutura de comando e controle (C2) criada por mais de duas dúzias de pentesters que tiveram suas práticas comerciais examinadas;
– perguntas novas e perturbadoras sobre a conformidade do setor de teste com as expectativas de privacidade e confidencialidade dos clientes, bem como novos requisitos legais e regulamentares, como o Regulamento Geral de Proteção de Dados da Europa (GDPR);
– uma infinidade de pacotes de malware gerados por criminosos e outras ferramentas de hackers projetadas para uso por defensores de rede que agora estão nas mãos de vários atores de ameaças e do crime organizado, detalhando seu uso em uma série de ataques reais de maneira a tornar a identificação adequada do atacante mais difícil;
– uma visão geral das diretrizes práticas, éticas e legais disponíveis para os criminosos e uma discussão das implicações da falta de um padrão de toda a indústria para os clientes.
Tags: agências militares e de inteligência, BlackBerry Cylance, Hospitais, Instituiçoes financeiras, pentesters, pontos fracos na defesa, seguradoras, teste de invasão