O Serviço de Pentest tem como missão de identificar potenciais fragilidades, que possam ser utilizadas por atores maliciosos para comprometimento da organização. O pentest externo a realizar pode ser efetuado em modelo de blackbox ou greybox, quer isto dizer, que no caso de um teste de blackbox, não existe qualquer conhecimento prévio da organização, para além daquele que é possível obter de modo público, o objetivo deste tipo de teste é dar a compreender, que partindo-se de informação pública o que poderia um atacante em hipótese poderá atingir.
Já no caso de um pentest de greybox, existe um conjunto de informações adicionais fornecidas pelo cliente acerca da sua infraestrutura, permitindo que durante os testes esta informação seja utilizado como factor de vantagem, contribuindo para uma diminuição do tempo necessário na compreensão da organização e infraestrutura existente.
Seja para o caso de pentesting do tipo Blackbox como de GreyBox, a framework por regra que servirá de base para o pentesting a efetuar é o standard internacional conhecido por PTES (Penetration Testing Execution Standard), não obstante da possível adoção de outros standards como sejam por exemplo a metodologia OWASP ou NIST SP 800-115, sendo analisado qual o melhor método a aplicar de acordo com o perfil do cliente e do cenário de pentesting proposto.
O serviço de pentesting interno, tem como objetivo determinar, no caso de um agente malicioso se encontrar dentro da rede interna, de que modo pode aproveitar as vulnerabilidades existentes por forma a conseguir tirar partido das mesmas.
O cenário da existência de um ator malicioso dentro da rede da organização, pode ser conseguida de múltiplas formas por parte do atacante, podendo ir por exemplo desde a utilização de um ataque de phishing (com a consequente implantação de malware nos sistemas internos),à exploração de vulnerabilidades acessíveis do exterior e inclusive até por via direta ou indireta de colaboradores que tenham acesso à rede interna.
Neste tipo de pentesting, serão utilizados um conjunto de técnicas e táticas que irão desde o reconhecimento de ativos, por forma a identificar que serviços se encontram disponíveis e passiveis de exploração. Sendo que o escalonamento de privilégios, e a tentativa de realização de movimentos laterais entre outros, ajudará a compreender o nível de ameaça que pode ser alcançado se um ator malicioso se encontrar num determinado segmento de rede.
Em resumo este teste terá o seu inicio na rede interna em acesso previamente definido e acordado com o cliente.
A análise de vulnerabilidades automatizado, proposto vai um pouco além do simples assement de vulnerabilidades, a deteção de vulnerabilidades será efetuada via rede, com a capacidades de pentesting, que para além detetar as vulnerabilidades dos sistemas identificados, ainda fará a verificação e tentativa de exploração acrescentando mais valor em cima das vulnerabilidades que tenham sido encontradas, classificando o risco.
No final será apresentado os resultados obtidos bem como as medidas a tomar e respetivo relatório final, que compreenderá um relatório executivo e um relatório técnico.
Do ponto de vista operacional, um novo projeto de pentesting é composto por 5 fases:
- Fase 1 (Reunião de Projeto) - Reunião de início de projeto, que terá como finalidade a definição e fecho do âmbito do pentest a realizar, bem como a identificação de todos os envolvidos.
- Fase 2 (Acordo de consentimento) - Após a reunião e de acordo com o estipulado, será enviado para assinatura o documento de aceitação do âmbito dos testes a ser assinado pelas partes envolvidas.
- Fase 3 (Fase de pentesting) - Realização do pentesting de acordo com a regras e periodo de pentesting definido no acordo de consentimento.
- Fase 3 (Fase de pentesting) - Realização do pentesting de acordo com a regras e periodo de pentesting definido no acordo de consentimento.
- Fase 4 (Apresentação de Resultados) - Uma semana após realização dos pentesting, será realizada a sessão de apresentação de resultados e devida explicação.
- Fase 5 (Envio de Relatório Final) - Uma semana após a apresentação de resultados, será enviado o relatório detalhado do pentesting realizado.
