0
0
Qual é a principal diferença entre verificação de vulnerabilidades e testes de penetração?
As pessoas frequentemente confundem testes de penetração e varredura de vulnerabilidades, e é compreensível por quê. Ambos os serviços são responsáveis por revelar fraquezas em sua infraestrutura de TI, examinando seus sistemas de maneira semelhante a como um hacker real faria. No entanto, há uma distinção muito importante entre os dois. Então, o que exatamente é isso?
O teste de penetração é uma avaliação manual de segurança pela qual um profissional de segurança cibernética tenta encontrar uma maneira de invadir seus sistemas. É um teste detalhado que avalia os controles de segurança em uma variedade de sistemas, incluindo aplicativos da web, rede e ambientes em nuvem. Esse tipo de teste pode levar várias semanas para ser concluído e, devido à sua complexidade e custo, é comumente realizado apenas anualmente.
A varredura de vulnerabilidades, por outro lado, é automatizada e realizada por ferramentas que podem ser instaladas diretamente em sua rede ou acessadas on-line. Os scanners de vulnerabilidade executam milhares de verificações de segurança em seus sistemas, produzindo uma lista de vulnerabilidades com os conselhos de correção correspondentes. Sendo assim, é possível executar verificações contínuas de segurança mesmo sem ter um especialista em segurança cibernética em tempo integral na equipe.
O que é melhor, pentest pontual ou varredura regular de vulnerabilidades?
Os testes de penetração têm sido uma parte essencial da estratégia de muitas organizações para se protegerem de ataques cibernéticos e uma excelente maneira de encontrar falhas em um determinado momento. Mas o uso de testes de penetração por si só muitas vezes pode deixar essas organizações indefesas por longos períodos de tempo.
A realização de testes anuais de penetração como defesa primária contra atacantes ganhou popularidade nos anos passados, por boas razões, e ainda é comum no setor de segurança cibernética hoje. E embora essa estratégia seja certamente melhor do que não fazer nada, ela tem uma desvantagem bastante crítica — o que acontece entre os testes?
Por exemplo, o que acontece quando uma nova vulnerabilidade crítica é descoberta no servidor web Apache que opera um portal sensível do cliente durante esse longo ano entre seus testes anuais de caneta. Ou uma configuração incorreta de segurança é introduzida por um desenvolvedor júnior. E se um engenheiro de rede abrir temporariamente uma porta em um firewall expondo um banco de dados à Internet e esquecer de fechá-lo? De quem é o trabalho notar essas questões que, se não forem verificadas, podem resultar em uma violação ou compromisso de dados?
Sem o monitoramento contínuo de problemas como esses, eles seriam identificados e corrigidos antes que os atacantes tivessem a chance de aproveitar?
Instalações com necessidade de segurança física robusta geralmente possuem soluções automatizadas 24 horas por dia, 7 dias por semana, para dissuadir atacantes todos os dias do ano. Então, por que algumas empresas tratam a segurança cibernética de forma diferente? Especialmente quando, em média, 20 novas vulnerabilidades são descobertas todos os dias. Não achamos que eles deveriam!
Então, espero que você possa começar a ver por que o teste de caneta escassamente agendado por si só não é suficiente. É realmente o equivalente cibernético de verificar as fechaduras das instalações do seu prédio de alta segurança uma vez por ano, mas deixá-lo não tripulado sem se preocupar em verificar se ainda está seguro até o próximo ano. Parece um pouco louco, certo?
Procurar problemas de segurança regularmente ajuda a complementar os testes manuais, pois fornece às organizações um bom nível de cobertura de segurança contínua entre os testes manuais.
Muitas empresas hoje ainda estão usando testes anuais de penetração como sua única linha de defesa, mas como a compreensão da frequência com que os fracos surgem continua a amadurecer, nossa visão é que as soluções automatizadas de varredura de vulnerabilidades se tornarão a primeira porta de escala para todas as empresas, com testes manuais de penetração um poderoso plano de backup.
Felizmente, a conscientização está aumentando sobre a necessidade de uma estratégia que forneça proteção durante todo o ano, mas ainda temos algum caminho a percorrer.
Talvez seja hora de acordar e sentir o cheiro da cobertura contínua!
FONTE: INTRUDER