Menu

Avaliação de vulnerabilidade e diferença de teste de penetração

vulnerability assessment

Experimente Nosso Instrumento Para Eliminar Problemas

Teste de penetração versus verificação de vulnerabilidade:

Às vezes, tenho visto testadores e proprietários de negócios se enganando ao entender a ideia básica por trás do teste de penetração e da varredura de vulnerabilidade.

Ambos são frequentemente confundidos como os mesmos serviços. Quando a empresa não consegue decidir se vai para o teste de penetração ou teste de vulnerabilidade. Os testes de penetração são iguais aos testes de vulnerabilidade ou são diferentes? Se forem diferentes, estão relacionados? Qual escolher - Teste de penetração ou teste de vulnerabilidade ?

Tentaremos encontrar as respostas para todas as perguntas acima neste tutorial.

Teste de penetração versus verificação de vulnerabilidade

O que você aprenderá:

Introdução

Para começar, gostaria que você lesse cinco frases:

  • Bananas crescem em uma árvore.
  • Um ser humano normal usa apenas 10% de seu cérebro.
  • Estalar os nós dos dedos causa artrite na velhice.
  • Os morcegos são cegos.
  • O teste de penetração é igual ao da verificação de vulnerabilidade.

Você consegue adivinhar uma coisa comum entre todas as afirmações acima? Todos eles são mitos. Sim está certo. Todos eles são de fato mitos.

Porém, neste nosso tutorial, não nos importamos nem com as Bananas nem com os Morcegos. Tudo o que nos preocupa é que o teste de penetração seja comparado à verificação de vulnerabilidade. Para saber mais sobre a comparação ou para provar que a afirmação é um mito, primeiro analisaremos o teste de penetração e a varredura de vulnerabilidade separadamente.

Introdução ao teste de penetração

Um teste de penetração também é conhecido como “Pen Test”. Esse tipo de teste é feito em um sistema para encontrar uma maneira de entrar no sistema. Isso pode expor os dados importantes armazenados pelo sistema para o mundo externo.

Em geral, o alvo do teste de penetração pode ser de Tipo de caixa branca ou caixa preta .

Teste de penetração da caixa preta:

Normalmente, o testador não é fornecido com nenhum detalhe do sistema, exceto o nome. Isso é muito semelhante aos hacks da vida real, onde o hacker não tem conhecimento de nada além do nome do aplicativo.

O teste da caixa preta reproduz as condições da vida real e não é demorado. No entanto, devido a áreas desconhecidas relacionadas ao código-fonte e à infraestrutura, sempre há a possibilidade de partes do sistema perdidas.

Teste de penetração da caixa branca:

Nesse processo, todos os dados necessários relacionados ao sistema que deve passar pelo teste de penetração são fornecidos ao Testador.

Os dados podem ser arquitetura de rede, configurações de sistema, códigos-fonte, etc. Este é um processo mais demorado do que o teste de caneta tipo caixa preta. Este é um processo completo e tem uma cobertura mais profunda quando comparado ao tipo caixa preta.

O teste de caneta é sempre executado com a permissão / solicitação do cliente. Executar o teste Pen em um site sem o consentimento do proprietário é ilegal e pode ser denominado como Hacking.

Agora, sabemos o que é teste de penetração e é hora de saber por que as organizações optam por ele. Diz-se que é melhor prevenir do que remediar. O teste de caneta torna uma arquitetura mais forte e resistente a ataques.

Vulnerability Scan Intro

Uma varredura de vulnerabilidade é usada para descobrir as vulnerabilidades / fraquezas em um sistema. Esta tarefa é executada executando um aplicativo (chamado de scanner de vulnerabilidade) no computador de destino. Esses aplicativos ou scanners podem ser executados diretamente no computador de destino ou de um local de rede.

A localização da rede é importante para organizações maiores, embora não seja viável executar o scanner nos computadores locais o tempo todo.

Agora, Como você sabe qual scanner pode funcionar para o seu aplicativo? A resposta é muito simples. Ou seja, os scanners de vulnerabilidade dificilmente usam os detalhes / parâmetros do sistema durante a varredura.

Tudo o que eles precisam é do IP do sistema. Com o IP sozinho, um scanner de vulnerabilidade pode descobrir os locais potenciais onde um ataque pode ser executado no sistema.

Existem situações em que uma empresa possui Intranet e nem todos os computadores estão expostos ao mundo da Internet. Nesse caso, o scanner de vulnerabilidade deve ser executado de dentro da Intranet, por meio da qual a varredura de vulnerabilidades internas e externas pode ser detectada.

Depois que um teste / varredura é concluído, o scanner ajuda a obter um relatório exibindo todas as vulnerabilidades possíveis. O relatório gerado contém vários dados relacionados às vulnerabilidades.

Os dados variam entre as estatísticas do servidor (com base no índice de vulnerabilidade), o status de diferentes serviços em execução em diferentes servidores, o status das vulnerabilidades encontradas com base em seu nível de gravidade.

Uma vez gerado um relatório, ele deve ser analisado para descobrir a situação real. Nem sempre, as vulnerabilidades encontradas são tão graves. Pode haver casos em que o scanner puxará o nome apenas porque os dados esperados não correspondem à saída. Mas, afinal, essa pode não ser uma verdadeira vulnerabilidade.

Essa é a razão pela qual uma análise mais aprofundada deve ser feita em um relatório de varredura de vulnerabilidade para descobrir se a vulnerabilidade encontrada é a correta ou não.

Teste de penetração versus verificação de vulnerabilidade

Agora sabemos o que é um processo de teste de penetração e o que é varredura de vulnerabilidade.

Agora, prosseguir com um confronto cabeça-cabeça entre os dois gigantes seria divertido.

Teste de penetração versus verificação de vulnerabilidade

Exemplo:

Devemos entrar em um exemplo da vida real para entender a diferença entre os dois.

Vamos pegar o Sr. X como exemplo. O Sr. X é um especialista em assalto. Devemos observar seu plano para seu próximo assalto. Ele está planejando roubar um banco presente no meio da cidade.

O prédio do Banco é cercado por Delegacia, Corpo de Bombeiros, Parque Público (que fica fechado à noite) e Lagoa. O prédio do banco tem 20 andares e um heliporto no topo. Antes de realmente roubar o banco, ele precisa encontrar os possíveis pontos de entrada no prédio do banco.

As laterais do prédio que tem Delegacia e Corpo de Bombeiros são impossíveis de violar. Eles operam 24 horas por dia, 7 dias por semana e quem se atreveria a roubar um banco usando o covil do policial como ponto de entrada! Isso deixa o Sr. X com 3 outras opções. Sim, você acertou. Ele também está tendo o telhado como ponto de entrada (lembra de Heath Ledger da trilogia do Batman?).

O Rooftop parece ser uma escolha estranha aqui, pois o prédio tem apenas 20 andares e as chances de ser pego pelas pessoas ao seu redor são muito altas. E o Banco é o único edifício alto existente na área. Então, isso torna a entrada do telhado um grande NÃO! Com as duas opções restantes, o Sr. X começa a analisar o Lago como um ponto de entrada.

O lago pode ser um bom meio de entrada, mas a visibilidade seria uma preocupação. Como alguém reagiria se visse alguém nadando à meia-noite, também em direção ao prédio do Banco? A última opção é o Parque Público.

Vamos analisar o parque em detalhes. Está fechado ao público a partir das seis da tarde. O parque tem muitas árvores que dão a sombra necessária e apoios para o modo furtivo. O parque possui um muro de contenção que é compartilhado com as dependências do Banco.

Agora, toda a análise acima pode ser dita como verificação de vulnerabilidade. Um scanner faz todas essas coisas. Para descobrir uma posição vulnerável para entrar.

Voltando à nossa história, vamos supor que o Sr. X tenha sucesso ao entrar no banco pelo ponto de entrada do parque público. O que ele faz a seguir? Se ele invade o Cofre para pegar o dinheiro ou os armários para pegar os objetos de valor.

Esta parte é o teste de penetração. Você obtém o acesso e tenta explorar o sistema. Você conhece a profundidade que pode atingir com esse ataque.

Nota: Nenhum banco foi roubado ao escrever este tutorial. E também não é aconselhável seguir os passos do Sr. X.

Estou deixando você com o gráfico de comparação abaixo para que você possa obter mais clareza sobre a diferença entre os dois.

Comparação

A varredura de vulnerabilidade e o teste de penetração estão relacionados entre si?

Sim, a verificação de vulnerabilidade e o teste de penetração estão relacionados entre si. O teste de penetração depende da varredura de vulnerabilidade.

Para iniciar o teste de penetração, uma varredura de vulnerabilidade completa é feita para que o testador conheça quaisquer vulnerabilidades que estão presentes no sistema e, em seguida, explore-as.

implementação de c ++ de tabela hash de encadeamento separada

Então, com a varredura de vulnerabilidades, conhecemos as possíveis vulnerabilidades, mas essas vulnerabilidades não foram exploradas até agora. É o teste de penetração que confirma até que ponto a vulnerabilidade pode ser explorada.

Eles também se cruzam em certos pontos, conforme mostrado na imagem abaixo:

Avaliação de vulnerabilidade e teste de penetração

Qual escolher - Pen Test ou Vulnerability Scan?

Tendo compreendido a diferença entre os dois, surge agora a questão - qual escolher?

Bem, o objetivo da verificação de vulnerabilidade é descobrir os pontos fracos do seu sistema e corrigi-los. Visto que o objetivo do teste de penetração é descobrir se alguém pode quebrar seu sistema e, em caso afirmativo, qual será a profundidade do ataque e quantos dados significativos eles podem obter.

Juntos, a verificação de vulnerabilidade e o teste de caneta podem dizer o que está em risco e como pode ser corrigido. O objetivo é melhorar a segurança geral do seu sistema. Você precisa escolher entre os dois, dependendo da criticidade do seu negócio. Se você for fazer um pen test, ele também cobrirá a verificação de vulnerabilidade.

No entanto, o pen test é muito caro (cerca de US $ 4.000 a US $ 20.000) e também demorado em comparação com a verificação de vulnerabilidade. A razão é que traz resultados muito precisos e completos e elimina vulnerabilidades de falsos positivos.

Enquanto isso, a verificação de vulnerabilidade é muito rápida e muito mais barata (quase US $ 100 por IP, por ano, dependendo do fornecedor) do que o pen test. Como uma organização, você pode fazer uma varredura de vulnerabilidade mensal, trimestral ou mesmo semanalmente. E, opte pelo pen test anualmente.

Ferramentas mais populares

Algumas das ferramentas comumente usadas para verificação de vulnerabilidades incluem:

  • Nessus
  • Ninguém
  • SANTO
  • OpenVAS, etc.

As ferramentas comumente usadas para o Pen Test incluem:

  • Qualys
  • Impacto central
  • Metasploit etc.

Os testadores de caneta também escrevem seu próprio código de exploração de acordo com o requisito.

Conclusão

A partir deste tutorial, percebemos que tanto o Pen Test quanto a Vulnerability Scan são duas atividades diferentes que são realizadas para tornar o aplicativo mais seguro contra ataques. Eles também podem ser usados ​​juntos, se necessário.

O teste de vulnerabilidade identifica as possíveis lacunas e o Pen test explora essas lacunas para descobrir a extensão do dano / roubo que pode acontecer às informações críticas para os negócios. Eles são feitos para corrigir as brechas e evitar quaisquer ataques potenciais e violações de segurança ao sistema de informações.

Leitura Adicional

Leitura recomendada

^