Auditoria de Segurança – Testes de penetração (Pentests)

Os testes de penetração ou Pentests que a WeSecure faz, são um método que avalia a segurança de um sistema de computador ou de uma rede, simulando um ataque de uma fonte maliciosa.

Os benefícios

Os Pentests da WeSecure identificam vulnerabilidades presentes na sua infraestrutura, ajudando assim a mitigar as falhas encontradas, antes que estas possam ser usadas de forma maliciosa.

Os nossos testes ajudam a compreender não só as fraquezas mas também os pontos fortes da sua infraestrutura.

Ajudam igualmente a compreender os tipos de ataques de que possa ser alvo.

Com os relatórios de auditoria (técnicos e executivos) da WeSecure consegue mostrar aos seus clientes que todo o grupo se preocupa com a segurança e com a proteção da sua informação que flui entre os mais diversos stakeholders.

Fases de execução pela WeSecure em testes de penetração

1. Recolha de informação

Recolha de toda a informação necessária sobre a empresa e infraestrutura (ativos), para que o os testes sejam mais focados obtendo assim um maior sucesso na deteção de problemas.

2. Enumeração de Serviços

Depois enumeramos os serviços que estão a ser executados, permitindo um maior detalhe tanto às ferramentas utilizadas assim como nos testes a serem efetuados.

3. Scanning de Vulnerabilidades

Identificamos as possíveis vulnerabilidades presentes na sua infraestrutura, identificando a sua criticidade.

4. Análise e Exploração de Vulnerabilidades

Depois analisamos e exploramos as vulnerabilidades, onde podem ser feitos vários tipos de teste consoante o que foi detetado, incluindo (entre outros):

• SQL Injection
• Cross Site Scripting
• Broken authentication and session management
• Security Misconfigurations
• Cross-Site Request Forgery
• Bruteforce Password Cracking
• Privilege escalation

5. Relatório de evidências

O passo seguinte é criar um relatório detalhado com as situações encontradas e com recomendações para mitigação ou minimização do risco.

Objetivo

A WeSecure tem como principal atividade prestar serviços de Testes de Penetração (PenTesting services) baseados num processo sistemático, independente e documentado para obter evidências e respetiva avaliação objetiva aos seus sistemas, consubstanciada na identificação e acompanhamento das vulnerabilidades e do risco associado, definindo estratégias e meios para a sua mitigação.

Os nossos serviços de auditoria PenTesting, assentam numa auditoria externa sobre a tipologia White Box, Gray Box ou Black Box 

Comumente nestes serviços identificamos vulnerabilidades nas suas infraestruturas dentro das seguintes categorias:

Categoria	Objetivos
Levantamento e Enumeração dos Ativos	Descobrir dispositivosIdentificar paths de comunicações na arquitetura de rede
Portas de Rede e Identificação de Serviços	Descobrir dispositivos ativosDescobrir portas abertas e serviços / aplicações associadasInformation disclosure (Banner Grabbing/Active Reconnaissance)Inappropriate Handling of Sensitive DataFile Name & File Path Disclosure
Análise/scanning de vulnerabilidades	Identificar IPs e portas abertasIdentificar vulnerabilidades conhecidasIdentificar vulnerabilidades desconhecidasAcesso indevido via Directory ListingAssessoria na mitigação das vulnerabilidades descobertas
Password Cracking	Identificar passwords e políticas de passwords não robustas

Realização de testes às aplicações Web, não se limitando a, mas dentro das seguintes categorias:

Categoria	Objetivos
Recolha e compilação da informação	Recolher o máximo de informação possível sobre as aplicações web alvo
Testes às configurações de Gestão	Analisar a infraestrutura e topologia da arquitetura
Testes às autenticações	Perceber como funciona o processo de autenticação e usar a informação para subverter o mecanismo de autenticação
Gestão de Sessões	Segurança das aplicações
Testes às Autorizações	Possibilidade de ultrapassar o esquema de autorizaçõesEncontrar maneiras para escalar privilégios
Testes à lógica do negócio	Vulnerabilidades relacionadas com o negócio
Testes à Validação de Dados	Aplicação valida de forma suficiente os dados de entrada antes de os utilizar
Testes Denial of Service	Com foco na camada aplicacional, ataque à disponibilidade que pode ser influenciada por apenas um utilizador malicioso numa única máquina
Testes aos Serviços Web	Vulnerabilidades nos Serviços Web
Testes Ajax	Vulnerabilidades Asynchronous JavaScript and X

Sempre que aplicável, a WeSecure realiza testes adicionais exaustivos, sobre as funcionalidades de maior risco em função dos tipos de ativos objeto da presente proposta, sobre:

• XSS Persistente;
• XSS Refletido;
• Execução de código aplicacional arbitrário remotamente;
• RFI / LFI;
• Execução de comandos SQL arbitrários através da aplicação (SQL Injection)
• Execução de pedidos SOAP arbitrários a partir da aplicação (SOAP Injection)
• Execução de queries LDAP arbitrárias através da aplicação (LDAP Injection)
• Path arbitrárias através da aplicação (Ex: PATH Injection)
• Manipulação de valores em Hidden Fields;
• Manipulação de valores em Cookies e headers;
• Manipulação de parâmetros submetidos via tampering;
• Bypass de validações de segurança realizadas unicamente do lado do cliente (ex:Javascript);
• Alteração do fluxo aplicacional em processos multi-etapa;
• Utilização incorreta de estados/relações de confiança na aplicação;
• Realização de transações não previstas;

A WeSecure fornece um report dos testes por data e ativos incluídos no âmbito dos testes.

Sobre as vulnerabilidades identificadas as mesmas serão analisadas e sempre que possível, confirmadas não sendo desta forma apenas resultado de atividades automáticas e exclusivas de processos de scanning para minimizar falsos positivos.

Classificaremos as vulnerabilidades de acordo com a sua severidade: 

• Baixa
• Média
• Alta
• Muito Alta

A WeSecure prima por, sempre que possível, providenciar recomendações relativas a todas as vulnerabilidades identificadas, com a identificação de medidas claras que permitam a mitigação das vulnerabilidades em questão;

A WeSecure está disponível para esclarecer as suas equipas, durante o processo de mitigação das vulnerabilidades, com o objetivo de esclarecer quaisquer questões que visem a adequada mitigação das respetivas vulnerabilidades.

A resolução/mitigação das vulnerabilidades é da sua responsabilidade, podendo ser apoiada pela WeSecure.

A WeSecure é uma marca registada de WeMake.

Para mais informações contacte-nos.