Teste de invasão: Pós – Exploração de Falhas

Nova lei de proteção de dados da União Europeia e seus requisitos-chave 25/07/2018Samantha Morais Nunes OpiniãoGDPR, Information Security, Security, Segurança da Informação Sem comentários Ultimamente, várias plataformas estão atualizando seus termos de serviço, o que se deve à nova lei de proteção de dados da União Europeia. A General Data Protection Regulation (GDPR) entrou em vigor em 25 de maio de 2018 e visa tornar mais transparente, consciente e respeitoso o uso dos dados pessoais que as empresas fazem dos usuários que são cidadãos da União Europeia. Neste post, vamos analisar 12 requisitos-chave da nova lei. Então prepara o seu café e vem acompanhar! Leia mais Teste de invasão: Geração de Relatório teste de invasão pós-exploração de falhas 26/06/2018Samantha Morais Nunes FerramentaInformation Security, Segurança da Informação, Teste de Invasão Sem comentários No post anterior da série, discutimos a fase do teste de invasão chamada de Pós-exploração de falhas. Neste post, vamos falar sobre a última fase do teste de invasão: Geração de Relatório. Confira! Leia mais Novidade: o Take.Test fará parte do Take.Blog take.test vai para o take.blog capa post 15/06/2018Taketest Opinião Sem comentários O Take.Test é um blog sobre Quality Assurance (QA) da Take, empresa que atua há mais de 18 anos no mercado de mobile e messaging. Sempre trabalhamos com ferramentas de mensagem, desde os ringtones e SMS até chegar nos chatbots. Dentro da empresa, nosso time de QA atua realizando testes de qualidade nos softwares. Assim, sabendo que a nossa área ainda está em desenvolvimento no Brasil, decidimos compartilhar as experiências e conhecimentos adquiridos em nosso trabalho com a comunidade, por meio do nosso blog. Em dois anos e meio de existência, trouxemos muito conteúdo bacana e ganhamos muitos seguidores! Crescemos bastante graças aos nossos autores e leitores, e hoje somos referência nacional em conteúdos de QA — e somos muito gratos a todos que contribuíram para esse resultado ? Com isso, trazemos uma grande novidade neste post: Estamos indo para o novo hub de conteúdo da Take, o Take.Blog! Leia mais Teste de invasão: Pós – Exploração de Falhas

No post anterior da série, discutimos um pouco sobre um tipo de ataque que é de Força Bruta.
Neste post, vamos falar sobre a próxima fase do teste de invasão: a Pós-exploração de falhas. Confira!

Após terem sido levantadas informações de fontes abertas, ter sido realizada a análise de vulnerabilidades e a exploração de falhas, é o momento de verificar e analisar tudo o que foi possível fazer no que diz respeito aos impactos à integridade, disponibilidade e confidencialidade da informação.
A fase de Pós-exploração de falhas engloba duas questões principais:

  • Analisar as informações sobre o sistema invadido e verificar o que é possível realizar com o acesso adquirido
  • Avaliar quais dessas vulnerabilidades são relevantes

Nessa fase, são analisadas as informações sobre o sistema invadido e verifica-se o que é possível realizar com o acesso adquirido. Um exemplo: Acessar arquivos, criar backdoors para manter o acesso, elevar nível de privilégio do usuário e analisar até onde é possível chegar.
Uma ferramenta que poderá auxiliar nesse processo é o Meterpreter, que é um payload do Metasploit.
Após a realização dessa análise com base na exploração de falhas, é necessário avaliar quais dessas vulnerabilidades são relevantes para o cliente. Isso é de extrema importancia para que o cliente possa focar no que é mais importante, pois pode acontecer de um sistema que foi invadido não permitir acesso a nenhum possível alvo relevante que vá impactar a segurança da informação.
Toda essa análise permite ter uma visão clara do cenário de segurança da informação e pontua onde estão as questões que devem ser levadas em consideração para a criação do relatório e direcionamento das ações por parte da equipe de segurança da informação da empresa alvo dos testes.
Neste post, discutimos sobre a fase de Pós-exploração de falhas. No próximo post, falaremos sobre a última fase do teste de invasão: Geração de Relatórios.
Até a próxima!

Referências: Testes de Invasão: Uma Introdução Prática ao Hacking – Georgia Weidman; Segredos do Hacker Ético – Marcos Flávio Assunção;Curso Fundamentos de Ethical Hacking: curso prático – Marcos Flávio Assunção; OWASP top ten
Deixe uma resposta

O seu endereço de e-mail não será publicado. Campos obrigatórios são marcados com *

Talvez você goste desses conteúdos também: