Pentests, ou teste de penetração, é uma necessidade a cumprir periodicamente nas empresas, onde nossos assets especialistas simulam ataques a sistemas de informação, infraestruturas onpremise ou cloud, para identificar vulnerabilidades, ou brechas de segurança que permitam ao invasor usar ela como ponto de invasão. Tendo como objetivo principal, encontrar e corrigir essas falhas antes que indivíduos mal-intencionados possam explorá-las.
Metodologias de PenTest
Aplicamos em nossos projetos, as mais modernas praticas aceitas do mercado, acrescentando uma camada de governança e compliance.
I. OWASP Testing Guide
A OWASP Testing Guide é uma metodologia desenvolvida pela Open Web Application Security Project (OWASP). Ela foca principalmente na segurança de aplicações web e fornece um guia detalhado para identificar e mitigar vulnerabilidades.
II. PTES (Penetration Testing Execution Standard)
PTES é um padrão que define um conjunto de práticas recomendadas para a
execução de testes de penetração. Ele cobre todas as fases do pentest,
desde o planejamento e a coleta de informações até a exploração e a
elaboração de relatórios.
III. NIST SP 800-115 e NIST SP 800-53A Rev,5
NIST SP 800-115 é um guia publicado pelo National Institute of Standards and Technology (NIST). Ele fornece uma abordagem estruturada para a realização de testes de penetração, incluindo a preparação, a execução e a análise dos resultados.
IV. Open Source Security Testing Methodology Manual (OSSTMM)
Nosso Framework Para PenTest
Desenvolvemos nosso framework de trabalho para atender o ciclo completo de testes, validações, correção e retestes:
Desenvolvemos um escopo de implantação e execução de PenTests para nossos clientes focados em explorar ao máximo a procura de falhas de segurança que possam ser exploradas por invasores, essas falhas podem ser humanas ou de aplicações, hardware, sistemas ou processos internos.
Tipos de PenTest
Simular ataque malicioso em ambientes expotos dos sistemas e aplicações;
Detectar possíveis falhas de segurança em sistemas, ambientes físicos, lógicos e aplicações com foco em endpoints;
Classificar nível de criticidade e reportar sobre possíveis impactos dos ataques externos aos negócios.
Detectar possíveis falhas de segurança em sistemas e aplicações com foco em endpoints;
Focar em possíveis falhas de segurança em sistemas, processos, aplicações e ambientes físicos e lógicos internos;
Classificar nível de criticidade e reportar sobre possíveis impactos das falhas de segurança nos ambientes internos.
Detectar possíveis falhas de segurança em sistemas e aplicações com foco em endpoints;
Focar em possíveis falhas de segurança em sistemas e aplicações internos e externos;
Classificar nível de criticidade e reportar sobre possíveis impactos dos ataques internos e externos aos negócios com escopo pré determinado.
Ecosistema de Testes
Os tipos de testes que conduzimos podem ser de acordo a localização dos ativos:
1.1 PenTest para Cloud
Os conceitos de utilização de serviços em cloud, podem ser operacionalizados de distintas formas, envolvendo endpoints, servidores, bancos de dados e serviços. Nossa arquitetura de PENTEST para Cloud foram projetadas para atender cada um dos ecossistemas existentes:
1.1 PenTest para Cloud
Azure Virtual Network (VNet).
Storage (Blob Storage)
Máquinas Virtuais (Azure VMs)
Identity and Access Management (IAM)
Azure App Services e APIs:
Banco de Dados (SQL Database, Cosmos DB):
Azure Kubernetes Service (AKS)
1.1.2 Google Cloud GCP
VPC (Virtual Private Cloud)
Storage (Cloud Storage)
Compute (VMs e Kubernetes)
IAM (Identity and Access Management)
APIs e Endpoints Virtualizados
Banco de Dados (Cloud SQL, BigQuery)
1.1.3 AWS
Amazon S3 (Simple Storage Service)
Amazon EC2 (Elastic Compute Cloud)
Amazon VPC (Virtual Private Cloud)
IAM (Identity and Access Management)
AWS Lambda e APIs
Amazon RDS (Relational Database Service)
Amazon CloudFront e Route 53
Tipos Ataques Convencionais Utilizados para PenTest.
Nossos testes são os mais diversos, focando sempre em permitir que os nossos clientes tenham visibilidade completa de cada etapa realizada.
Simulamos ataques e testes para ambientes:
Exfilitration
Wireless Network.
Password Cracking
Network Scanning
Frameworks Para Exploit
Análises de Pacotes
Cloud
- Azure
- AWS
- GCloud
OnPremise
Nossas Certificações
Nossa equipe de combate a incidentes de CiberSegurança atua em áreas diversificadas e de formas e frentes variadas, com divisões treinadas e atuação ostensiva contra:
CompTIA Pentest
Certified Ethical Hacker (CEH)
Certified Security Analist (ECSA)
Offensive Security Certified Professional (OSCP)
GIAC Penetration Tester (GPEN)
Licensed Penetratio Testar (LPT)
Nossa Expertise
Para ter sucesso nos testes nosso pessoal externo e interno tem acesso as, mas variadas tecnologias e sources, fóruns, algumas a comentar são:
