“Tomamos boas precauções e acredito que estamos bem protegidos.” Esta frase frequentemente pronunciada cria uma falsa sensação de segurança. Embora muitas empresas tenham investido na cibersegurança, só numa emergência descobrem se a resiliência da segurança cumpre realmente o que promete em todas as áreas. Avaliações de vulnerabilidades de segurança de TI e testes de penetração são mais importantes do que nunca.
Estudos como o atual Relatório de Ameaças da Sophos mostram que, apesar de todos os esforços, ainda existem demasiadas lacunas para os cibercriminosos. Quase 50% de todos os casos de malware analisados tiveram como alvo pequenas e médias empresas e 90% de todos os ataques cibernéticos envolvem roubo de dados ou de identidade. Posteriormente, os cibercriminosos usam essas informações roubadas para outras ações, como acesso remoto não autorizado, extorsão ou instalação de ransomware. Além disso, dispositivos IoT inseguros costumam ser uma porta de entrada para criminosos cibernéticos.
Vulnerabilidades não detectadas na infraestrutura de TI
O problema raramente reside nas soluções de segurança, mas sim nas vulnerabilidades não reconhecidas na infra-estrutura de TI que não podem ser protegidas sem uma identificação clara. Portanto, avaliações regulares de vulnerabilidade e testes de penetração são importantes. Somente eles fornecem feedback confiável sobre o status real da segurança e da resiliência cibernética na empresa.
Avaliações de vulnerabilidade e testes de penetração têm objetivos diferentes. De acordo com o NIST, as avaliações de vulnerabilidade fornecem uma “descrição e avaliação formal das vulnerabilidades de um sistema de informação”, enquanto os testes de penetração utilizam uma metodologia “na qual os auditores, normalmente trabalhando sob certas restrições, tentam contornar ou superar os recursos de segurança de um sistema”. Só os resultados de ambas as medidas fornecem às empresas informações sobre os riscos existentes e permitem tirar conclusões sobre quais as prioridades que devem ser definidas na eliminação desses riscos.
A frequência de ambas as medidas depende do comportamento de TI da empresa e das regulamentações legais (por exemplo, indústria de cartões de pagamento). Empresas com baixas flutuações tecnológicas (por exemplo, mudanças de código, atualizações de hardware, mudanças de pessoal, mudanças de topologia, etc.) não podem prescindir de testes, mas com uma frequência menor. As organizações que enfrentam grandes mudanças tecnológicas aumentam a sua resiliência cibernética com testes mais frequentes.
Estágios de avaliações de vulnerabilidade e testes de penetração
🔎 Comentário de John Shier, CTO comercial de campo da Sophos (Imagem: Sophos).
A realização de avaliações de vulnerabilidade e testes de penetração envolve 12 etapas principais – da descoberta à avaliação, à correção e ao relatório final:
- Definição de escopo: Defina claramente o escopo, incluindo os sistemas, redes e aplicações a serem testadas e quaisquer metas ou objetivos específicos.
- Exploração: Coletar informações sobre os sistemas, redes e aplicações alvo usando meios passivos, como informações publicamente disponíveis e técnicas de engenharia social.
- Verificação de vulnerabilidades: Uso de ferramentas automatizadas para verificar sistemas alvo em busca de vulnerabilidades conhecidas, configurações incorretas e vulnerabilidades. Isso pode incluir verificações internas e externas.
- Avaliação de vulnerabilidade: Analise os resultados da verificação de vulnerabilidades para identificar e priorizar vulnerabilidades com base na gravidade, impacto e probabilidade de exploração.
- Testes manuais: Conduza testes manuais para validar e verificar os resultados das verificações automatizadas e identificar vulnerabilidades adicionais não detectadas pelas ferramentas automatizadas.
- Teste de penetração: Explorar ativamente vulnerabilidades para avaliar a postura de segurança dos sistemas, redes e aplicativos alvo. Várias técnicas podem ser usadas, e. B. exploração de redes, ataques a aplicações web e engenharia social.
- Pós-exploração: Uma vez estabelecida uma posição no ambiente alvo, é realizada uma exploração adicional e os privilégios são aumentados para determinar a extensão do dano potencial que um atacante real poderia causar.
- Documentação: Colete e compile todas as descobertas, incluindo as vulnerabilidades descobertas, as técnicas de exploração utilizadas e quaisquer recomendações para correção ou mitigação.
- Comunicando: Produza um relatório abrangente para os agentes de segurança e para a gestão com os resultados da avaliação, incluindo um resumo, detalhes técnicos das vulnerabilidades, avaliações de risco e recomendações para remediação ou mitigação.
- Planejamento de ações corretivas: Estabeleça prioridades e planeje ações corretivas com base nos resultados da avaliação, bem como na tolerância ao risco e nas prioridades de negócios da organização.
- Reavaliação: Realize avaliações de acompanhamento para verificar se as vulnerabilidades foram efetivamente corrigidas e para garantir que a postura de segurança dos sistemas, redes e aplicações da empresa melhorou.
- Monitoramento contínuo: Implemente processos regulares de monitoramento e teste para identificar e corrigir novas vulnerabilidades de segurança à medida que surgirem.
Sobre a Sophos A Sophos tem a confiança de mais de 100 milhões de usuários em 150 países. Oferecemos a melhor proteção contra ameaças complexas de TI e perda de dados. Nossas soluções de segurança abrangentes são fáceis de implantar, usar e gerenciar. Eles oferecem o menor custo total de propriedade do setor. A Sophos oferece soluções de criptografia premiadas, soluções de segurança para endpoints, redes, dispositivos móveis, e-mail e web. Também há suporte da SophosLabs, nossa rede global de centros de análise proprietários. A sede da Sophos fica em Boston, EUA e Oxford, Reino Unido.