Oque é um Teste de Invasão ? São simulações de ataques reais, resultando na descoberta de fragilidades, falhas de configuração e vulnerabilidades. Vulnerabilidades estas permitem que a sua empresa sofra impactos com ataques direcionados, perdendo a disponibilidade, integridade e confidencialidade de informações e sistemas..

O teste de invasão deve fazer parte do programa de segurança da informação da sua empresa. Ele tem por objetivo verificar a resistência do sistema em relação aos métodos atuais de ataque. Este método pode ser simplesmente de engenharia social, ou mais complexo como por exemplo utilizando técnicas de buffer overflow para ganhar acesso de root aos sistemas da sua empresa.

Para proteger o Cliente contra a divulgação não autorizada de dados identificados pela contratada durante a realização do serviço e da não divulgação seja por qualquer circustância dos resultados adquiridos um Acordo de Confidencialidade (Non-Disclosure Agreement - NDA) será assinado entre as partes, . Um acordo formal deverá ser assinado antes da realização do serviço entre as partes envolvidas, a fim de eximir a contratada de quaisquer problemas ou complicações oriundos da execução do serviço solicitado . É feita uma análise ativa de deficiências técnicas, vulnerabilidades e fraquezas da atual infra-estrutura física e lógica que hospeda os objetos em questão (como localidades e sistemas acessíveis ao público interno e externo de uma empresa), sempre visando a disponibilidade, integridade e confidencialidade das Informações do Cliente. O Nosso serviço segue os padrões internacionais de Testes de Invasão, como PTES, OWASP, OSSTMM e ISSAF/PTF, sempre com o objetivo de garantir a maior qualidade e confiabilidade possíveis para o cliente utilizamos Ferramentas exclusivas para o serviço, que é realizado de forma a garantir total confidencialidade para o cliente..

O que justifica realizar um teste de invasão ?

- Após os testes, sua empresa tem uma visão real do ambiente, tal visão sendo a mesma utilizada por um hacker durante a tentativa de invasão;

- Evita que dados confidenciais e de clientes sejam expostos indevidamente na Internet;

- Protege a reputação e credibilidade da sua empresa;

- É o primeiro teste a ser realizado antes de montar o plano de ação e rotinas de Análise de vulnerabilidades ;

- Apoia a decisão de investimentos em segurança da informação;

- Testa na prática os mecanismos de defesa da sua empresa;

Definição das etapas:

1º Etapa: Definição do tipo do teste (BlackBox, Graybox ou Whitebox);

2º Etapa: Definição do Escopo, Profundidade e Agendamento dos Testes;

3º Etapa: Execução dos Testes e Coleta de Evidências;

4º Etapa: Criação do Relatório Gerencial e Detalhado;

5º Etapa: Apresentação do Relatório e Apoio no Plano de correção; Os resultados sempre deixam os clientes impressionados e tornam cientes as fragilidades do negócio, necessitando de ações imediatas para eliminação dos riscos e vulnerabilidades encontradas.

Uma outra definição para teste de invasão seria um conjunto de técnicas utilizadas para verificar as vulnerabilidades e seus riscos em um sistema ou rede. Os pentests são uma ferramenta indispensável para áreas de Tecnologia da Informação (TI), Segurança da Informação (SI), Jurídica, Controles Internos e Auditoria e são realizados a partir de metodologias específicas e padrões de mercado para testes de invasão, como PTES, OWASP, OSSTMM 3 e ISSAF.

Controles que podem ser avaliados por um Teste de invasão:

- Segregação de redes Acesso remoto (filiais e escritórios) e VPN

- Protocolos de comunicação Aplicações Web e serviços

- Mecanismos de autenticação de usuários

- Uso de algoritmos de criptografia fortes

Modalidades de um Pentest:

Existem três modalidades de Teste de Invasão e a diferença entre eles está na quantidade de informações fornecidas aos analistas especializados que irão executar os testes.

Teste de invasão de Caixa Preta (Black Box, “às cegas” ou Blind): Não assume qualquer conhecimento prévio da infraestrutura a ser testada. Simula, por exemplo, o ataque de um cracker de fora da empresa que tenta invadir o sistema.

Teste de invasão de Caixa Cinza (Grey Box): Assume algum conhecimento prévio da infraestrutura, como um conjunto de credenciais de rede. Simula o acesso de um colaborador ou prestador de serviço mal-intencionado.

Teste de invasão de Caixa Branca (White Box ou Open): Fornece aos testadores o conhecimento completo da infraestrutura a ser testada, incluindo diagramas de rede, código fonte, informações de endereçamento IP e credenciais de acesso. Simula um ataque interno realizado por um usuário que tem conhecimento do ambiente de rede, como um funcionário da área de TI, espião industrial. Possibilita diagnosticar pontos de atenção em maior profundidade.

Entre AGORA em CONTATO CONOSCO e agende a visita de nossos consultores sem custos ou compromisso;

CONTRATE JÀ UM TESTE DE INVASÃO!