A auditoria de redes e sistemas, também conhecido como teste de invasão (Pentest), tem o objetivo de identificar ameaças e vulnerabilidades em sistemas e configurações na rede do cliente. Hoje com a criação da LGPD as auditorias de redes e sistemas tornaram-se algo indispensável para as empresas que visam a segurança de dados dos seus clientes e funcionários.
COMO FUNCIONA A AUDITORIA OU TESTE DE INVASÃO (PENTEST):
Testes de invasão (ou simplesmente Pentest) é uma simulação controlada de um ataque real a uma rede, sistema, servidor web ou serviço de rede, visando avaliar a segurança do mesmo. Neste processo, é feita a análise de vulnerabilidade, fraquezas e deficiências técnicas dos serviços acessíveis pela internet.
As atividades são realizadas seguindo metodologia própria com base em padrões internacionais (OSSTMM e OWASP) e com uso de ferramentas livres (Kali Linux). Os testes realizados serão modelados em árvores de ataque, de acordo com dados identificados antes da etapa de invasão. Todas as atividades realizadas são registradas com data/hora, IP de origem, IP de destino, ferramentas e metodologias utilizadas, assim como resultado da ação.
PRINCIPAIS TÉCNICAS UTILIZADAS:
- Mapeamento/descoberta do ambiente de rede: consistem na varredura dos hosts/IPs ativos (determinados pelo cliente), para verificar regras de firewall, serviços ativos e suas vulnerabilidades (inclusive em servidores/equipamentos internos, por portas redirecionada no firewall). Neste item, pode-se ter uma visão geral de todos os serviços ativos da rede: DNS, VPN, E-mail, FTP, WEB, SSH, TS, entre outros.
- Força bruta: testar e avaliar os serviços de autenticação ou controle de acesso a ataques de tentativa e erro de senhas. Ex: o acesso a tela de login/senha do sistema de câmeras está seguro?
- Avaliação de servidores e sistemas web: testar e avaliar os servidores e sistemas web, utilizando as principais vulnerabilidades/ataques em serviços deste tipo: injeção de código (SQL Injection), Cross-Site Scripting (XSS), Comand Injection, manipulação de campos de dados/mensagens de erros do servidor (formulários), obtenção de dados de cookies, sessões e arquivos temporários, falhas de controle de acesso, entre outros.
- Identificação e exploração de vulnerabilidades: executar códigos maliciosos (exploits), visando explorar a segurança e fragilidade dos serviços mapeados. Ex: o servidor de terminal server (TS) tem acesso direto pela internet está com as ultimas atualizações de segurança?
- Ataque de negação DDOS: verificar a fragilidade/disponibilidade da rede? serviços em caso de ataque de negação de serviços.
PRODUTO FINAL
Como resultado final dos serviços, será entregue (em até 10 dias após a análise):
- Sumário executivo e indicadores de fragilidades
- Relatório técnico com evidências de cada vulnerabilidade
- Recomendações de segurança e solução para cada um dos problemas identificados
CONSIDERAÇÕES FINAIS
- Todos os testes/ataques com possibilidade real de derrubar algum serviço crítico da rede, serão realizados em horários pré-agendados com o cliente
- O aceite da proposta, inclui automaticamente um acordo de confidencialidade entre as partes, para proteger o cliente contra a divulgação não autorizada de resultados ou dados identificados pela contratada durante a realização do serviço
- O aceite da proposta também eximi a contratada de responsabilidades legais associadas à quaisquer problemas ou complicações oriundos da execução do serviço contratado
Conheça nosso serviço de Análise de Vulnerabilidades para LGPD.
QUER SABER MAIS SOBRE AUDITORIA DE REDES E SISTEMAS ?
ENTRE EM CONTATO VIA WHATSAPP
SOLICITE ORÇAMENTO 