Os testes de intrusão (também conhecidos como testes de penetração) são um tipo de teste de segurança que visa descobrir potenciais vulnerabilidades num sistema.
Um teste de intrusão não só comunica quaisquer vulnerabilidades encontradas, como também tentará explorá-las ativamente através do que é conhecido como pirataria ética.
Por que precisamos de testes de intrusão? Qualquer atacante pode interromper um sistema ou obter acesso não autorizado ao mesmo se este não estiver devidamente protegido. Um risco de segurança pode surgir como resultado de erros não intencionais cometidos durante as fases de desenvolvimento e implementação do software.
Com os testes de intrusão, podemos:
- encontrar vulnerabilidades e riscos que podem conduzir a fugas de dados sensíveis
- prevenir o phishing e os ciberataques
- manter a confiança dos utilizadores através da proteção das suas informações sensíveis
- alcançar a conformidade com normas e regulamentos
Neste artigo, vou abordar os seguintes tópicos:
- Metodologia dos testes de intrusão
- 3 abordagens principais aos testes de intrusão
- Quais são os principais tipos de testes de intrusão?
Metodologia dos testes de intrusão
Antes de realizar os testes de intrusão, os riscos são identificados através de uma avaliação de vulnerabilidades. Isto significa que a primeira coisa a fazer é identificar as potenciais áreas problemáticas (como o armazenamento de credenciais) e, em seguida, tentar atacá-las ativamente.
Os testes de intrusão devem abranger qualquer localização de dados sensíveis, todas as aplicações que armazenem ou interajam com esses dados, todas as ligações de rede e todos os pontos de acesso relevantes. Os testes de intrusão tentam explorar vulnerabilidades e fragilidades de segurança, procurando penetrar na rede e nas aplicações.
O objetivo dos testes de intrusão é determinar se atacantes maliciosos conseguem obter acesso não autorizado a sistemas ou ficheiros críticos. Depois de realizadas estas análises de vulnerabilidades, quaisquer problemas encontrados devem ser tratados e corrigidos.
3 abordagens principais aos testes de intrusão
Tal como acontece com todos os tipos e métodos de teste, podemos utilizar diferentes abordagens aos testes de intrusão, dependendo dos conhecimentos e dos direitos de acesso do responsável pelos testes. As principais abordagens aos testes de intrusão incluem os testes de caixa branca, caixa preta e caixa cinzenta.
1. Testes de intrusão de caixa branca
Nos testes de intrusão de caixa branca, os responsáveis pelos testes têm conhecimento total e acesso completo ao sistema. Esta abordagem permite realizar testes aprofundados e tem o potencial de descobrir mais vulnerabilidades remotas e de difícil acesso.
Have an account? Log In
2. Testes de intrusão de caixa preta
Os testes de intrusão de caixa preta são uma abordagem aos testes de intrusão em que o responsável pelos testes não tem conhecimento do funcionamento interno do sistema. O responsável conceberia os testes de intrusão como se fosse um atacante informático sem informação prévia.
Esta abordagem é a mais semelhante aos cenários da vida real, nos quais os hackers não têm acesso ao código-fonte real da aplicação ou do sistema que está a ser testado.
3. Testes de intrusão de caixa cinzenta
A caixa cinzenta é o ponto de encontro entre os testes de caixa branca e caixa preta. Isto significa que o responsável pelos testes de intrusão terá conhecimentos limitados sobre o sistema.
Em seguida, vamos analisar alguns dos diferentes tipos de testes de intrusão.
Quais são os principais tipos de testes de intrusão?
1. Testes de intrusão de aplicações Web
Os testes de intrusão de sítios Web são normalmente mais direcionados e detalhados do que outros tipos de testes de intrusão. O principal objetivo é encontrar vulnerabilidades e riscos de cibersegurança nos sítios Web e nos seus componentes, como as bases de dados, o código-fonte ou a rede de retaguarda.
Os testes de penetração de aplicações Web são particularmente importantes agora que se verificou um grande aumento do cibercrime devido à pandemia de Covid-19.
Algumas das vulnerabilidades de segurança comuns que um técnico de testes de penetração deve procurar numa aplicação Web incluem:
- Pontos de acesso desprotegidos
- Palavras-passe fracas
- Ataques de injeção SQL
- Injeção de código
- Scripting entre sites
- Violação de dados
- Ataques de phishing
2. Testes de Penetração do Lado do Cliente
Este é um tipo de teste que verifica a existência de ameaças locais. Estas ameaças podem ter origem em quaisquer aplicações ou programas em execução nas estações de trabalho dos funcionários — navegadores, leitores multimédia, aplicações de código aberto, aplicações de apresentações ou de criação de conteúdos (como o Microsoft PowerPoint).
Para além das aplicações de terceiros, os programas e as estruturas internas também podem causar ameaças à segurança, por isso, certifique-se de que os inclui nos testes.
3. Testes de Penetração de Redes
Este tipo de teste é um dos mais solicitados para testes de penetração. O seu objetivo é descobrir vulnerabilidades na infraestrutura de rede.
As redes têm pontos de acesso internos e externos, o que pode torná-las vulneráveis a ataques de cibercriminosos. As duas subcategorias dos testes de penetração de redes são: testes de rede interna e testes de rede externa.
Testes de Penetração da Rede Interna
Este tipo de teste de penetração parte do princípio de que os ataques do hacker têm origem no interior da rede. Enquanto técnico de testes de penetração, assume o papel de uma pessoa mal-intencionada com um determinado nível de acesso (mais ou menos) legítimo à rede interna.
Isto pode significar, por exemplo, analisar o impacto de informações confidenciais divulgadas, alteradas, utilizadas indevidamente ou destruídas involuntariamente.
Testes de Penetração da Rede Externa
Neste caso, o cenário simulado é o de um ataque com origem no exterior da rede. Os técnicos tentarão entrar no sistema explorando vulnerabilidades externas que podem permitir o acesso a dados e sistemas internos.
Os testes de penetração podem concentrar-se nos seguintes riscos de segurança da rede:
- Configurações incorretas de firewalls
- Testes de routers
- Testes de servidores proxy
- Recolha de informação DNS
- Análise de portas abertas
- Bases de dados de rede
- Servidores de correio
Ao realizar testes de penetração, é crucial validar também a integridade das suas plataformas de gestão de dados
4. Testes de Engenharia Social
A engenharia social é diferente de outros tipos de testes porque não se concentra nos aspetos técnicos dos sistemas ou das aplicações. Em vez disso, o foco passa para a psicologia dos utilizadores e funcionários, que podem comprometer involuntariamente a segurança.
Existem duas formas de realizar testes de penetração de engenharia social: remotamente ou presencialmente.
Os testes de engenharia social remotos são realizados através de meios eletrónicos, como mensagens de correio eletrónico de phishing com potencial para conter malware. Se os funcionários abrirem a mensagem, pode ser uma boa ideia a empresa começar a realizar sessões de formação em segurança para prevenir ataques reais deste tipo.
Os testes de segurança física significam falar efetivamente com as pessoas e convencê-las a divulgar informações sensíveis.
Não sei quanto a si, mas, nos últimos anos, três das empresas onde trabalhei realizaram este tipo de testes. Por exemplo, nós, enquanto funcionários, recebemos mensagens de correio eletrónico a afirmar que tínhamos ganho algum prémio de sites de compras ou descontos especiais. As mensagens incentivavam-nos a clicar numa ligação ou a descarregar um ficheiro. Em circunstâncias normais, quando o ataque é real e não simulado, o URL ou os anexos contêm normalmente malware com potencial para infetar os computadores e roubar dados pessoais ou confidenciais.
Ficaria surpreendido com a quantidade de pessoas que realmente caem neste tipo de armadilhas, especialmente quando a mensagem parece vir de uma fonte de confiança, como a Amazon.
Tenha em atenção que, sempre que realizar este tipo de testes, a administração deve ser sempre informada antecipadamente.
More Articles
5. Testes de Penetração Física
Os testes de penetração física vão além dos aspetos digitais. Para realizar este tipo de teste, terá de avaliar a facilidade com que é possível obter acesso físico a uma instalação. Isto pode ser feito tentando contornar controlos de segurança, sensores, câmaras de segurança ou até tentando abrir as portas com uma gazua.
As vantagens dos testes físicos são imediatas — a correção de qualquer vulnerabilidade encontrada pode ser aplicada assim que a área que necessita de melhorias for identificada.
6. Testes de Penetração em Redes sem Fios
As violações de redes sem fios constituem uma ameaça real à segurança de uma empresa. Os testes são realizados em todos os dispositivos físicos sem fios, como computadores portáteis, tablets, smartphones, etc., que estejam ligados à rede WiFi.
Entre os aspetos a procurar ao realizar testes em redes sem fios incluem-se, entre outros:
- fragilidades na encriptação
- vulnerabilidades nos protocolos sem fios, nos pontos de acesso sem fios ou nas credenciais de administrador
- palavras-passe predefinidas ou fracas
- pontos de acesso não autorizados
- ataques de negação de serviço (DoS)
Conclusões
Os testes de penetração são realmente importantes e oferecem muitas vantagens, mas não são tão fáceis de realizar como outros tipos de testes. Se quiser praticar as suas competências, pode consultar a aplicação de demonstração da OWASP e participar em alguns desafios de pirataria informática.
Gostou deste artigo? Pode encontrar muitos tópicos interessantes relacionados com QA no The QA Lead, por isso não deixe de subscrever a newsletter!
Veja também:
- 5 PRINCIPAIS ETAPAS DO PROCESSO DE GESTÃO DE VULNERABILIDADES
- COMO AUTOMATIZAR OS TESTES DE APLICAÇÕES MÓVEIS
Lista relacionada de ferramentas: