10 passos para gerenciar um penetration test

Image result for PENTEST

Muito tem sido escrito sobre várias ferramentas e métodos técnicos para a execução de teste de invasão. No entanto, executar um efetivo e bem sucedido teste de invasão requer uma quantidade de esforço e planejamento para garantir que o teste seja arquitetado e executado com sucesso. Abaixo estão 10 passos úteis a se considerar e implementar para o seu próximo teste de invasão impressionar sua equipe:

1) Avaliação do escopo de rede

Uma boa abordagem de teste de invasão é ter um teste externo em conjunto com um teste interno e analisar quais vulnerabilidades internas podem ser exploradas. Essa abordagem externa-interna permite uma boa visibilidade para verificar a eficácia das camadas de segurança implementadas.

2) Planejar e estruturar os testes para resultados eficazes

Trate o teste de invasão como um projeto tal como se você fosse implementar um novo sistema. Obtenha recursos de gerenciamento do projeto.

3) Confirme se o tempo é adequado para o planejamento inicial

Mesmo com o recurso certo dedicado ao projeto, um teste de invasão bem estruturado requer uma certa quantidade de tempo inicial para planejar seus detalhes, alinhar os objetivos e revisar todos os detalhes requeridos pela equipe de invasão.

4) Crie um plano de comunicação e alinhamento

Se o teste envolve um componente de engenharia social, decida antecipadamente quem estará envolvido no teste. O mais importante, certifique-se que as pessoas certas na equipe de resposta a incidentes de segurança da informação estejam cientes do que está acontecendo, para que saibam como escalar resultados relacionados ao teste de invasão de forma apropriada.

5) Explore cenários hipotéticos

Um teste de invasão é um bom momento para testar uma teoria de uma possível vulnerabilidade.

6) Plano de monitoramento

Planeje um eficaz plano de monitoramento e controle durante o teste de invasão. Enquanto o teste está sendo executado por uma equipe externa para testar as defesas em camadas, pode ser uma boa hora pra testar seu programa de monitoramento e resposta a incidentes.

7) Após o teste de invasão

Certifique-se dos resultados dos testes de invasão. Muitos pentesters irão fornecer um relatório padrão com base em um modelo comum que irão reutilizar para cada etapa. É fundamental, no entanto, fornecer o contexto e base para os resultados. Quanto mais detalhadas as informações mais elas servirão de ajuda para compreender o contexto dos resultados.

8) Comunicando os resultados para a gestão

Certifique-se que a comunicação com a gestão é parte do engajamento do pentest. A melhor prática é ter uma apresentação técnica profunda com a equipe de TI e uma apresentação separada e mais curta para executivos, com resumo focados no impacto de risco e planos de mitigação.

9) Escopo e cobertura

Um pentest atualmente pode ter diferentes significados para diferentes pessoas. Considere não limitá-lo somente a sua rede interna ou sistemas externas, mas inclua também testes de acesso físico e também das redes sem fio.

10) Teste de invasão em aplicativos Web

Esta é uma continuação do ponto anterior. Considere também realizar um teste profundo nos sistemas e sites externos baseados em seus planos e avaliações de risco

Advertisements

Leave a Reply

Fill in your details below or click an icon to log in:

WordPress.com Logo

You are commenting using your WordPress.com account. Log Out / Change )

Twitter picture

You are commenting using your Twitter account. Log Out / Change )

Facebook photo

You are commenting using your Facebook account. Log Out / Change )

Google+ photo

You are commenting using your Google+ account. Log Out / Change )

Connecting to %s