Num mundo dominado pelas ferramentas digitais, as empresas e organizações precisam de contar com medidas de segurança que protejam tanto a integridade das suas redes e sistemas informáticos como a informação que contêm. Verificar a eficácia desses protocolos é precisamente a função do pentesting.
O que é o pentesting?
O pentesting (teste de penetração) é o lançamento de ciberataques simulados contra uma estrutura informática com o objetivo de detetar as suas possíveis vulnerabilidades para assim corrigi-las e prevenir ataques reais. Esta prática permite conhecer os perigos a que um sistema está exposto, medir o nível de eficácia das suas defesas e avaliar o impacto das falhas identificadas.
Para realizar um teste de penetração, a equipa de profissionais responsáveis (ou pentesters)recolhe em primeiro lugar toda a informação possível sobre a organização e os seus sistemas. Uma vez identificadas as potenciais vulnerabilidades, lança um conjunto de ataques contra elas até entrar no sistema. Além disso, a ameaça mantém-se no tempo para conseguir o maior acesso possível, tal como aconteceria num ataque real.
Consoante a quantidade de informação com que se trabalhe, existem três tipos de pentesting:
- De caixa preta: a empresa não fornece informação sobre o sistema, pelo que os pentesters atuam desde zero, como fariam agentes externos.
- De caixa branca: a equipa dispõe de todos os detalhes (códigos-fonte, credenciais, IP, etc.). O objetivo é simular um ataque a partir do interior da organização.
- De caixa cinzenta: apenas são fornecidos alguns dados para que os pentesters atuem como alguém que possui apenas permissões específicas.
Pentesting no controlo de acessos
Os sistemas de controlo de acessos são um ponto crítico na cibersegurança, pois, se forem vulneráveis, permitem a entrada física de pessoas não autorizadas em áreas restritas. Os testes de penetração podem variar consoante o dispositivo e as necessidades da empresa, mas geralmente incluem os seguintes pontos:
Pentesting de hardware e software
Trata-se de identificar vulnerabilidades em redes, servidores, programas e dispositivos informáticos físicos, como computadores e leitores.
Pentesting de pessoal
Esta técnica procura falhas de segurança no próprio pessoal da entidade. Utilizam-se técnicas de engenharia social contra os colaboradores para conseguir que forneçam acesso ao sistema ou informações confidenciais.
Pentesting físico
Neste caso, a equipa de pentesters tenta aceder fisicamente às instalações através de várias estratégias, entre as quais:
- Lockpicking: tentativa de manipular os mecanismos de fecho de portas e janelas para verificar a sua resistência.
- Clonagem de dispositivos RFID: copiam-se cartões ou outros dispositivos de identificação por radiofrequência da empresa para testar a possibilidade de acesso com as falsificações.
- Tailgating: para entrar nas instalações, tenta-se enganar o pessoal autorizado simulando ter a permissão adequada ou seguindo alguém que entra.
Os sistemas de controlo de acessos do Grupo SPEC contam com todas as medidas de segurança necessárias para proteger os ativos da tua empresa. Se precisares de mais informações, contacta o nosso serviço ao cliente.
