O QUE É UM TESTE DE PENETRAÇÃO ?
Existem muitas maneiras diferentes de descrever, conduzir ou mesmo comercializar um teste de penetração (comumente chamado de pentest). Pentests também são frequentemente confundidos com "varreduras de vulnerabilidade", "auditorias de conformidade" ou "avaliações de segurança", porém os testes de penetração, algumas vezes também chamados de testes de invasão, estão distantes destes esforços de algumas maneiras significativas:
º Um teste de penetração (pentest) não se limita a simplesmente descobrir vulnerabilidades: ele vai ao próximo passo que é explorar ativamente essas vulnerabilidades, a fim de provar (ou refutar) vetores de ataque do mundo real contra: os recursos de TI de uma organização, dados, humanos e/ou segurança física.
º Enquanto um teste de penetração pode envolver o uso de ferramentas automatizadas e estruturas de processo, o foco é, em última instância, fazer uso da experiência do indivíduo ou da equipe de testadores (ou pentesters). Mesmo as redes altamente automatizadas, bem equipadas e avançadas que empregam sofisticadas tecnologias de contra-medida são muitas vezes vulneráveis ​​à natureza única da mente humana, que pode pensar lateralmente e fora da caixa, pode tanto analisar e sintetizar, e é armado com motivação e determinação.
º Um teste de penetração é projetado para responder à pergunta: "Qual é a eficácia real dos meus controles de segurança existentes contra um atacante ativo, humano e qualificado?" Obviamente podemos contrastar isso com auditorias de segurança ou conformidade que verificam a existência dos controles necessários e suas configurações corretas, mas o fato é: Mesmo uma organização 100% em conformidade pode ainda ser vulnerável no mundo real contra uma ameaça humana hábil.
QUAL É O VALOR E A IMPORTÂNCIA DE UM TESTE DE PENETRAÇÃO ?
Aqui estão algumas das razões pelas quais as organizações investem em pentest:
º Determinação da viabilidade de um certo conjunto de vetores de ataque;
º Identificar vulnerabilidades de alto risco resultantes de uma combinação de vulnerabilidades de baixo risco exploradas em uma seqüência particular;
º Identificar vulnerabilidades que podem ser difíceis ou impossíveis de serem detectadas com o uso de softwares automatizados de verificação de vulnerabilidades de rede ou aplicativos;
º Avaliar a magnitude dos potenciais impactos de negócios e operacionais no caso de ataques bem-sucedidos
º Testar a capacidade dos mecanismos de defesa da rede para detectar e responder com êxito aos ataques;
º Fornecer evidências para apoiar o aumento de investimentos em pessoal e tecnologia de segurança para a administração em nível C, investidores e clientes;
º Cumprimento de conformidades (por exemplo: o Padrão de Segurança de Dados da Indústria de Cartões de Pagamento (PCI DSS) requer testes de penetração anuais e contínuos (após qualquer alteração no ambiente computacional ou sistema);
º Após um incidente de segurança, uma organização precisa determinar os vetores que foram usados ​​para obter acesso a um sistema comprometido (ou rede inteira). Combinado com a análise forense, um teste de penetração é frequentemente usado para recriar a cadeia de ataque, ou então para validar se os novos controles de segurança implementados irão frustrar um ataque semelhante no futuro.
E DENTRE A ALTERNATIVAS ATUAIS, QUAL A MELHOR FERRAMENTA DE PENTEST AVALIANDO CUSTO E BENEFÍCIO ?
O New Tech é a melhor ferramenta de pentest que oferece um conjunto totalmente integrado para avaliação de vulnerabilidades, teste de penetração, gestão de riscos em Tecnologia da Informação com especificações SCAP validada pelo NIST e mais. Algumas características que transformam a New Tech na melhor opção de pentest:
Explore com segurança as vulnerabilidades encontradas pela New Tech.
Identifique vulnerabilidades em Dispositivos de rede, Sistemas Operacionais, Aplicativos Desktop, Aplicativos Web e mais.
Gere uma lista de todos os softwares instalados em hosts destinos baseados no Windows.
Obtenha informações sobre o software anti-vírus instalado, como a data da última verificação, datas de arquivo de definição e muito mais.