No último artigo, falamos sobre a importância do pentest e como ele é essencial para qualquer instituição – tanto por uma questão ética, quanto burocrática e de credibilidade. E agora que você já entende um pouco mais sobre os testes de vulnerabilidade, talvez esteja se perguntando: por onde começar? Nesse artigo, a gente responde.

Tipos de vulnerabilidades

Dentro de uma rede ou sistema, existem os mais diversos tipos de vulnerabilidades, que muitas vezes acabam passando batido por aqueles que não estão devidamente treinados para reconhecê-las.

De acordo com um estudo, de forma geral cerca de 30% das vulnerabilidade encontradas representam vulnerabilidades críticas ou de grande importância. Abaixo, você encontra os 3 tipos de falhas de segurança mais comuns encontradas hoje.

Injeção de comando e código

É um dos ataques mais comuns no caso de aplicações web, pois aproveita as vulnerabilidades na programação do software. 

Conhecido como “injeção de SQL”, é muito usado pelos hackers para conseguir informações pessoais e de pagamento dos usuários, o que é feito através da execução de comandos maliciosos que buscam informações em bancos de dados back-end.

Falta de controle de acessos

O controle de acessos verifica a autorização de cada usuário, se é permitido que ele realize a ação que está solicitando. Quando esse controle não é feito de maneira correta, um invasor consegue acessar e manipular certos itens dentro de uma base de dados.

Falta de limite de solicitações

Todas as APIs usam recursos limitados – como o armazenamento, por exemplo. Quando ele chega ao seu limite, mesmo que você continue tentando utilizá-lo, ele deixa de funcionar de maneira apropriada.

A vulnerabilidade acontece quando uma API não restringe a quantidade ou frequência de solicitações feitas por um usuário. Ou seja, o sistema não limita o uso da plataforma mesmo que esteja chegando perto de seu limite.

Esse é o tipo de falha que leva ao ataque DoS/DDoS, que é quando um invasor faz diversas solicitações ao mesmo tempo com o objetivo de sobrecarregar e prejudicar o funcionamento do servidor.

Por onde começar?

Dessa forma, percebemos que o primeiro passo é contratar uma empresa para realizar o pentest. Não é ideal que você busque, de forma independente, um pentester – principalmente se não possui uma equipe de desenvolvimento e/ou cibersegurança especializada, justamente por ser uma área muito específica e com muitos detalhes.

As empresas de pentest podem direcioná-lo melhor quanto às questões envolvendo o seu segmento e sua necessidade.

Os “pentesters”, também chamados de hackers éticos, são os responsáveis por realizar os testes. Existem empresas com equipes fixas desses profissionais, enquanto outras – como é o caso da Vantico – preferem contratá-los como prestadores de serviço, de forma a ter acesso a uma variedade maior de especialistas.

É importante também procurar saber o que diz a legislação vigente do seu segmento. No caso das fintechs, como já mencionamos, o teste precisa ser feito anualmente. Dessa forma, é possível se programar para manter-se sempre nos conformes da lei.

E como existem tantas vulnerabilidades e tantos tipos de sistemas, dependendo do segmento de cada empresa, existem diversos tipos de ataques diferentes. Separamos 3 exemplos de testes de intrusão que podem ser realizados dentro de uma avaliação de segurança.

Tipos de pentest

Testes internos

São feitos na rede interna utilizada pelos colaboradores de TI ou desenvolvimento, com o objetivo de analisar sua segurança e possíveis problemas.

Testes externos

Avalia os sistemas da empresa que podem ser acessados diretamente através da internet, que geralmente são os mais vulneráveis.

Testes de aplicações

Podem ser realizados tanto no formato web quanto mobile, com o objetivo de avaliar sua resiliência e encontrar falhas de programação que poderiam ser exploradas num possível ataque.

Ainda existem outros, como aqueles relacionados ao wi-fi e ao ambiente de rede, por exemplo. Tudo irá depender do tipo de segmento, tipo de sistema utilizado e objetivo da instituição. Por isso é fundamental ter uma empresa auxiliando e acompanhando todo o processo.

Conheça o trabalho da Vantico e saiba como podemos ajudar.