Conheça as nossas soluções:

Pioneiros.NET - Logotipo

As nossas soluções são sinónimo de robustez, fiabilidade, segurança e escalabilidade, apresentando-se ideais quer para o pequeno empresário quer para a grande instituição.

Pioneiros.NET Artigos Pen Testing

Publicado em 06-11-2007 - autor: João Cohen

Quais os critérios para seleccionar um penetration tester?

O objectivo da penetration testing é não só avaliar a segurança de uma rede de computadores, mas também determinar a possibilidade e impecto no negócio de um ataque com sucesso. O teste simula um atacante que pretende explorar potenciais vulnerabilidades nos sistemas da sua empresa. Qualquer problema de segurança encontrado é posteriormente reportado, junto com uma estimativa do seu potencial impacto. É dada uma opinião profissional e possível resolução do problema. Os testes sÃo geralmente efectuados antes de um sistema ou aplicação passar para o estado de produção. Estes testes são repetidos periodicamente de forma a assegurar a sua consistência.

Antes de seleccionar um pen tester, é necessário determinar quais os sistemas que pretende testar. Um expert que testa sistemas baseados em UNIX pode não ser necessariamente um expert em sistemas Windows, por exemplo. Uma vez que decide testar, deve procurar referências de colegas de outras empresas que contrataram trabalho similar. Esta aproximação é preferível, ao contrário de se basear em certificados de pen testing, visto que nãoo existe até ao momento nenhum standart para este campo.

É aconselhável não se concentrar apenas em grandes consultores, visto que tendem a ser generalistas, e o penetration testing é o trabalho de um especialista. Certifique-se que não fica com um aprendiz, após o contracto ser assinado.

É sempre sensato questionar qual a metodologia favorita a um potencial pen tester. A melhor maneira de efectuar um pen test é percorrer repetidamente uma série de testes metódicos, passando por diferentes tipos de vulnerabilidades, para evitar um teste inificiente. Esteja atento a uma abordagem por checklist ou uma dependência em ferramentas automatizadas. Este tipo de abordagem é mais uma pesquisa de vulnerabilidades do que um pen test. O Penetration testing não é uma ciência exacta, por isso verifique que o tester tem flexibilidade para acompanhar qualquer àrea de risco. Desta maneira o teste é baseado em vectores de ataque especí­ficos relativos ao seu negócio.

Verifique sempre se um tester possui tempo suficiente para completar uma avaliação completa.

Lembre-se que o relatório final é o que está a pagar, e que necessita de tempo para o discutir com o tester. Se não perder algum tempo a seleccionar o seu tester, não só vai gastar uma quantia significante de dinheiro como o relatório que vai receber pode dar à sua organização um falso sentido de segurança.

 

Tecnologias Utilizadas