Como Um Teste de Invasão Pode Ajudar o Gestor de Segurança da Informação?
-
Upload
luiz-felipe-ferreira -
Category
Technology
-
view
2.050 -
download
0
description
Transcript of Como Um Teste de Invasão Pode Ajudar o Gestor de Segurança da Informação?
UM TESTE DE INVASÃO PODE
AJUDAR O GESTOR DE SI?
Por Luiz Felipe Ferreira
Este é Carlos,
um Gestor de
Segurança da
Informação
Diariamente, convive com muitos
desafios que dificultam o seu trabalho
Na empresa onde
trabalha, há
pouco
investimento em
Segurança e as
ações são sempre
reativas
Ele não
consegue ter
visibilidade das
ameaças
importantes
para o negócio
Não é fácil calcular o ROI e
mostrar o valor da sua área para a
alta direção
Ele precisa mudar o jogo.
Ele decide contratar um Teste de Invasão.
1
CONHECENDO
O TESTE DE INVASÃO
Conjunto de
técnicas usadas para
verificar as
vulnerabilidades e
os riscos de sistemas
ou redes
O objetivo é a
obtenção das
informações
O que é um Teste
de Invasão?
≠
Expõe falhas não
convencionais
Uso de criatividade
para desviar dos
controles
TESTE DE INVASÃO
Expõe falhas
conhecidas
Uso de ferramentas
automatizadas
ANÁLISE DE
VULNERABILIDADES
Possíveis falsos
positivos
Determina o risco
real das
vulnerabilidades
2
AS ABORDAGENS
UTILIZADAS
GreyBox
Verifica se há
erros em
permissões
da rede
Acesso
limitado
BlackBox
Simula uma
situação real
de uma
invasão
Acesso
restrito
WhiteBox
Analisa até o
código fonte
das
aplicações
Acesso
liberado
3
AS ETAPAS
Definir o objetivo e o escopo dos testes
Entrega de
documentação
detalhada
CONTRATO
Garantir a
confidencialidade
das informações
Coleta de informações iniciais sobre o alvo para
encontrar formas de invadir o ambiente
O resultado desejado é um mapa de ativos da
organização
FOOTPRINT
Engenharia Social pode ser utilizada
Informações específicas
sobre uma ou mais máquinas
(Sistema Operacional, IP, etc)
FINGERPRINT
Contato direto com ativos de
rede
Scan dos ativos
localizados
Enumeração das falhas
e configurações
padrões
MAPEAMENTO E
ANÁLISE DE
VULNERABILIDADES
Utilização de falhas 0-
day
Uso de exploits
específicos
Visa
comprometer os
ativos
EXPLORAÇÃO
Tentativa de
acesso não
autorizado
Detalhamento técnico das vulnerabilidades
Recomendações
para correção das
vulnerabilidades
RESULTADOS
Classificação dos
riscos
4
OS BENEFÍCIOS
Conhecimento de riscos não mapeados, fornecendo insumos para
uma melhor gestão dos mesmos.
É possível avaliar o nível de cultura de
Segurança da Informação na empresa
Testar a eficácia dos controles
implementados
Contribui para a aderência a
normas e padrões de mercado
Com as evidências, é possível convencer a alta direção da
necessidade de investimentos
Após os resultados, Carlos decide tornar o TDI uma atividade regular na
empresa onde trabalha
Carlos conseguiu mudar o jogo.
E você?
CONTATOS
@lfferreiras
Créditos Fotos por Victor1558 (Flickr)
Licenciado por Creative Commons
Agradecimentos Andréa Greco, Bruno Souza e toda a equipe do ISRio