Introdução e Contexto Normativo

Antes de mergulharmos nas fases de um Pentest (Teste de Intrusão), precisamos entender o terreno onde ele atua. A Segurança da Informação (SI) não é terra sem lei, ela é regida por padrões internacionais como a ISO/IEC 27000.

Essa família de normas é o pilar para qualquer profissional da área:

  • ISO/IEC 27000: Tratando sobre os aspectos gerais da SI.
  • ISO/IEC 27001: Gestão de SI focada na empresa.
  • ISO/IEC 27002: Guia de boas praticas aos profissionais.

E como isso se aplica no Brasil?

O Cenário Brasileiro: A Lei 12.737/2012

No Brasil, a segurança digital é assunto sério. A Lei 12.737/2012 (conhecida por muitos como Lei Carolina Dieckmann) tipifica crimes cibernéticos. O Art. 154-A é claro: invadir dispositivos alheios para obter, adulterar ou destruir dados sem autorização pode gerar detenção de 3 meses a 1 ano, além de multa.

É aqui que o Pentest se diferencia de um ataque criminoso, ele é autorizado e documentado.

As 3 Etapas de uma Invasão

Para fins didáticos, podemos resumir o processo de invasão em três pilares:

  1. Conhecer: Coleta de informações sobre o alvo (OSINT). Aqui entram pesquisas de e-mails, rastreio de usuários e o famoso Google Hacking.
  2. Analisar: Com os dados em mãos, analisamos versões de softwares, varredura de IPs e o Sistema Operacional (SO) utilizado.
  3. Explorar: A hora da ação. Utilizamos exploits, força bruta ou engenharia social para ganhar acesso ao sistema.

Agora já esclarecemos algumas informações importantes vamos dar inicio de fato ao Pentest.

Pentest

O objetivo principal é melhorar a postura de segurança de uma organização. Para que isso ocorra legalmente, existe o NDA (Non-Disclosure Agreement). Esse acordo de confidencialidade impede o vazamento de segredos comerciais e dados estratégicos descobertos durante o teste.

As Cores dos Chapéus (Hats)

No mundo da segurança, classificamos os hackers por suas intenções:

  • White Hat (Chapéu Branco): O hacker ético, atua com autorização para encontrar e corrigir falhas.
  • Black Hat (Chapéu Preto): O criminoso, invade com intenções maliciosas, como extorsão (Ransomware).
  • Gray Hat (Chapéu Cinza): O meio-termo, pode invadir sem permissão, mas geralmente não busca causar danos, apenas reportar a falha (as vezes pedindo recompensa).

Existem outros como o Red Hat, Green Hat e até o Blue Hat, que tem a suas peculiaridades.

Padrão Processo Pentest

Existem diversas metodologias (NIST, OWASP, OSSTMM), mas o Penetration Testing Execution Standard (PTES) é um dos mais detalhados. Veja o passo a passo:

  1. Interação Pré-Engajamento: Definição de escopo e regras do teste.
  2. Coleta de Informações: A fase de "descoberta" do alvo.
  3. Modelagem de Ameaças: Análise do cenário para entender onde o sistema é mais vulnerável.
  4. Análise de Vulnerabilidades: Identificação técnica das falhas.
  5. Exploração: Onde tentamos, de fato, validar a vulnerabilidade.
  6. Pós-Exploração: Verificação do valor dos dados acessados e manutenção do acesso.
  7. Relatórios: A etapa mais importante para o cliente. É a documentação de todo o trabalho e como corrigir os problemas encontrados.

Você já conhecia a diferença entre os Hats? Deixe seu comentário!

No próximo artigo, vou detalhar a fase de "Conhecer" e mostrar como utilizei o Google Hacking na prática. Não perca!