O penetration testing e o vulnerability assessment geralmente são abordados como se fossem o mesmo serviço.
Mas, embora os processos estejam relacionados e possam trabalhar de forma complementar para aumentar a segurança cibernética das empresas, cada um possui uma função completamente diferente.
Neste artigo, nós vamos lhe ajudar a entender o que é, como funciona cada um e quais são as diferenças entre o vulnerability assessment e o penetration testing. Acompanhe.
O que é vulnerability assessment?
O vulnerability assessment é um teste cujo objetivo é identificar pontos fracos, também conhecidos como vulnerabilidades nos sistemas, computadores, redes e aplicativos das organizações.
As verificações de vulnerabilidade podem ser iniciadas manualmente ou executadas de forma programada e podem pesquisar mais de 50.000 pontos fracos, dando uma visão inicial do que pode vir a ser explorado.
Contudo, o vulnerability assessment possui uma abordagem passiva, que apenas irá relatar as fraquezas detectadas.
Cabe a sua equipe de TI corrigir os pontos fracos com base em prioridades, ou confirmar que uma vulnerabilidade descoberta é um falso positivo e, em seguida, executar novamente a verificação.
Vulnerability scanning e PCI DSS
Se sua organização processa pagamentos, bem como armazena e transmite dados de cartões, é recomendado possuir uma certificação PCI DSS (Payment Card Industry – Data Security Standard).
Trata-se de uma exigência de muitas bandeiras de cartão de crédito para garantir a proteção de dados e aumentar a qualidade do processamento. Portanto, quem realiza vendas on-line, ou possui esse desejo, precisa obter a certificação.
Para obter um certificado de conformidade com o PCI, os negócios devem realizar o vulnerability scanning de forma trimestral ou após qualquer alteração significativa na rede.
As varreduras devem ser realizadas por um profissional qualificado que seja independente do dispositivo ou componente que está sendo digitalizado. Entre suas responsabilidades, estão a de configurar as ferramentas apropriadas e realizar as verificações.
Se a análise falhar, será preciso agendar uma nova em 30 dias para provar que as vulnerabilidades críticas, de alto risco ou médio risco foram corrigidas.
Muitas organizações simplificam a tarefa realizando verificações mensais para manter o controle sob quaisquer falhas emergentes.
O que é penetration testing?
O penetration testing é muito mais rigoroso do que o vulnerability assessment, pois é essencialmente uma forma controlada de hacking. O testador – conhecido como hacker ético – trabalha em nome de uma organização e procura vulnerabilidades em seus sistemas.
A esse respeito, seu trabalho real é muito parecido com o de um hacker criminoso. Diferentemente da varredura de vulnerabilidade, os testes de penetração são projetados para identificar não apenas as fraquezas, mas também explorá-las.
Ou seja, demonstra exatamente como um criminoso cibernético se infiltraria em seus sistemas e quais informações ele poderia acessar.
Para isso, métodos como quebra de senha, buffer overflow e injeção de SQL são usados para comprometer e extrair dados de uma rede de maneira não prejudicial.
Ao obter esse conhecimento, as organizações podem avaliar a eficácia de sua segurança cibernética e identificar quais áreas precisam ser aprimoradas.
Trata-se de uma abordagem extremamente detalhada e eficaz para encontrar e corrigir vulnerabilidades em aplicativos de software e redes e, assim, garantir a segurança de forma contínua.
Penetration testing e PCI DSS
As normas do PCI DSS afirmam que o penetration testing deve ser realizado pelo menos uma vez por ano e após quaisquer alterações significativas em sua rede.
Os testes exigem grande conhecimento técnico, portanto, devem ser realizados por um profissional qualificado.
Mas, lembre-se, o penetration test, diferente do vulnerability assessment, não é automatizado e, sim, um “teste vivo”. Ou seja, sua realização afetará o fluxo de trabalho da empresa.
Uma outra alternativa é separar um horário em que seja possível contar com a equipe de TI e ver como eles reagiriam ao teste.
Dessa forma, é possível avaliar como está a coordenação e o tempo de resposta, além de avaliar as habilidades dos profissionais.
Vulnerability testing vs penetration testing
Para ficarem ainda mais claras as diferenças entre os dois processos, confira uma comparação entre vulnerability testing vs penetration testing:
-
Frequência
O vulnerability testing precisa ser realizado pelo menos trimestralmente, mas especialmente após a rede sofrer alterações significativas.
Já o penetration testing pode ser agendado uma ou duas vezes por ano, a não ser que ocorra alguma grande modificação na rede.
-
Relatórios
Em relação aos relatórios, o vulnerability testing é bastante abrangente sobre quais vulnerabilidades existem e o que mudou desde o último relatório.
Já o teste de penetração demonstra de forma mais concisa quais dados foram comprometidos.
-
Objetivo
O objetivo do teste de vulnerabilidades é encontrar e listar pontos fracos que podem vir a ser explorados.
Já o penetration testing descobre fraquezas desconhecidas e exploráveis existentes nos processos corporativos.
-
Execução
Enquanto o vulnerability assessment é geralmente conduzido por um colaborador usando credenciais autenticadas, já que não exige um nível de habilidade elevado, o teste de penetração deve ser feito por outra empresa especializada.
-
Valor para a empresa
O teste de vulnerabilidade pode detectar a existência de um ponto fraco quando o equipamento já estiver comprometido. Já o penetration testing não só identifica as falhas de segurança, como também reduz as vulnerabilidades.
Ambos os testes trabalham juntos para estimular a segurança ideal da rede, sistemas, computadores e dos aplicativos.
As varreduras de vulnerabilidade são ótimas para obter informações sobre a segurança da empresa de forma trimestral, enquanto os testes de penetração são uma maneira muito completa de examinar profundamente o nível de proteção da sua rede.
Portanto, o ideal para um esquema de cibersegurança completo é possuir as duas soluções, pois elas são complementares.
Gostou do conteúdo e quer saber mais sobre como aumentar o nível de segurança cibernética da sua empresa? Continue lendo o nosso blog de Cibersegurança!
