Verificação de vulnerabilidades versus testes de intrusão

A segurança reativa responde aos ataques depois que eles ocorrem; a segurança proativa encontra e corrige as fraquezas antes que os invasores possam explorá-las. Duas práticas proativas complementares são a varredura de vulnerabilidades e o teste de penetração. Ambas identificam falhas de segurança, mas diferem significativamente em escopo, metodologia, requisitos de autorização, nível de risco e no que entregam à organização. Entender essas diferenças é essencial para candidatos ao Security+ e para comunicar às partes interessadas o que cada atividade pode — e não pode — revelar sobre a postura de segurança da organização.

A varredura de vulnerabilidades é um processo automatizado que verifica os sistemas em relação a um banco de dados de vulnerabilidades conhecidas. Os scanners comparam números de versão, configurações e assinaturas de software com bancos de dados de CVE e comunicados dos fornecedores para identificar possíveis fraquezas. A varredura normalmente é não intrusiva — identifica que provavelmente existe uma vulnerabilidade com base na versão ou na configuração, mas geralmente não tenta explorá-la. As varreduras podem ser executadas regularmente (diariamente, semanalmente ou continuamente) e em grande escala, abrangendo milhares de sistemas. Elas são um requisito de conformidade do PCI-DSS (varreduras externas trimestrais realizadas por um ASV) e de muitas outras estruturas.

O teste de penetração (teste de intrusão) é uma tentativa estruturada e orientada a objetivos de comprometer sistemas usando as mesmas técnicas que um atacante usaria. Ao contrário da varredura, o teste de penetração explora ativamente as vulnerabilidades para confirmar que elas são reais e exploráveis — e não apenas teoricamente existentes. Um testador de penetração demonstra o impacto real: ele consegue obter acesso privilegiado? Consegue exfiltrar dados? Consegue mover-se lateralmente de um sistema para outro? O teste de penetração fornece uma prova de explorabilidade que aumenta a urgência da correção e frequentemente revela caminhos de ataque complexos e com várias etapas que os scanners automatizados não conseguem identificar.

Realizar um teste de penetração sem autorização é ilegal — isso constitui acesso não autorizado segundo leis como a CFAA (Computer Fraud and Abuse Act) nos US. Antes do início de qualquer teste de penetração, é necessário assinar um documento de Regras de Engajamento (RoE) que defina: o escopo (quais sistemas, intervalos de IP e domínios), a janela de tempo (horário comercial ou fora dele), as ações proibidas (nenhum ataque físico, nenhum DoS contra ambientes de produção), os contatos de emergência e as assinaturas de autorização. As cartas de autorização transportadas pela equipe de teste de penetração comprovam a autorização caso ela seja descoberta pelo pessoal de Security. Nunca inicie os testes sem uma autorização completa e por escrito.

Os testes de penetração são categorizados de acordo com a quantidade de informações que o testador possui sobre o alvo. Um teste de Black box não fornece informações prévias — o testador começa como um atacante externo começaria, usando OSINT e varredura para descobrir os alvos. Esse é o tipo mais realista, mas pode não identificar vulnerabilidades internas. Um teste de White box fornece informações completas: diagramas de rede, código-fonte e Credentials — permitindo um teste minucioso, porém menos realista. Um teste de Gray box fornece informações parciais (talvez uma conta de usuário comum) e representa o cenário de um invasor interno comprometido ou de Credentials roubadas. A maioria dos trabalhos no mundo real é do tipo Gray box ou Black box.

Os testes de penetração têm como alvo diferentes pontos de observação. Um teste externo simula um atacante na internet sem acesso interno — testando as defesas do perímetro, as aplicações expostas à internet e a segurança de e-mail. Um teste interno simula um agente de ameaça que já está dentro da rede (um funcionário comprometido ou um malware usado como ponto de pivô) — testando os controles de movimentação lateral, a segurança das aplicações internas e o fortalecimento do Active Directory. A maioria das organizações se beneficia das duas perspectivas. Muitas violações reais envolvem um atacante externo obtendo acesso inicial e depois se movendo internamente, o que torna os dois tipos de teste em conjunto mais valiosos do que qualquer um deles isoladamente.

Os scanners de vulnerabilidades não são perfeitos. Um falso positivo ocorre quando o scanner informa uma vulnerabilidade que, na realidade, não existe — talvez porque um número de versão pareça vulnerável, mas o patch tenha sido retroportado. Falsos positivos desperdiçam recursos de correção e diminuem a confiança nos resultados do scanner. Um falso negativo ocorre quando existe uma vulnerabilidade real, mas o scanner não a identifica — talvez porque a vulnerabilidade exija autenticação e a varredura não tenha sido autenticada, ou porque a vulnerabilidade seja nova e ainda não esteja no banco de dados. As varreduras com Credentials reduzem significativamente os falsos positivos e falsos negativos em comparação com as varreduras não autenticadas.

Os programas modernos de Security tratam o gerenciamento de vulnerabilidades como um processo contínuo, e não como um evento periódico. A varredura contínua descobre novas vulnerabilidades à medida que elas surgem (e à medida que novas CVEs são publicadas), em vez de esperar pela próxima janela de varredura agendada. O ciclo de vida do gerenciamento de vulnerabilidades inclui: descobrir, priorizar (com base na pontuação CVSS e no contexto empresarial), corrigir (aplicar patch, configurar ou aceitar), verificar (realizar uma nova varredura para confirmar a correção) e gerar um relatório. A integração com o gerenciamento de patches garante que as vulnerabilidades descobertas acionem fluxos de trabalho automatizados de implantação de patches. Os SLA definem a rapidez com que vulnerabilidades de diferentes níveis de gravidade devem ser corrigidas (por exemplo, Critical: 24 horas, High: 7 dias).

Um teste de penetração é concluído com um relatório abrangente, que é o principal entregável. Normalmente, o relatório inclui: um resumo executivo para a liderança não técnica (classificação geral de risco, impacto empresarial e principais descobertas); uma seção de descobertas técnicas (descrições detalhadas das vulnerabilidades, capturas de tela como Evidence e etapas de reprodução); e um roteiro de correção com recomendações priorizadas. As descobertas normalmente são classificadas por nível de risco (Critical/High/Medium/Low), usando pontuações CVSS junto com o contexto empresarial. Um bom relatório de teste de penetração permite que o cliente reproduza e verifique cada descoberta e entenda exatamente qual correção é necessária.

Programas de recompensa por bugs pagam a pesquisadores externos de Security para encontrar e divulgar vulnerabilidades de forma responsável nos sistemas de uma organização. Plataformas como HackerOne, Bugcrowd e Intigriti conectam organizações a milhares de pesquisadores de Security em todo o mundo. As recompensas por bugs fornecem testes externos contínuos em grande escala, com pagamento somente por descobertas validadas. Elas complementam os testes de penetração internos ao oferecer perspectivas variadas de pesquisadores e testes contínuos entre avaliações formais. Descobertas Critical normalmente recebem recompensas de US$ 500 a mais de US$ 50.000, dependendo da gravidade e do programa. As organizações definem o escopo e as regras de forma semelhante às Regras de Engajamento de um teste de penetração.

Para o exame Security+, é importante entender claramente as principais distinções. Varredura de vulnerabilidades: automatizada, não destrutiva, com ampla cobertura, identifica possíveis vulnerabilidades, não confirma a explorabilidade, é frequente/contínua e realizada pela equipe interna. Teste de penetração: manual (ou semiautomatizado), pode causar interrupções, oferece cobertura profunda e direcionada, confirma a explorabilidade real e o impacto no mundo real, é periódico (trimestral, anual) e normalmente exige conhecimento especializado externo e autorização formal. Ambos são complementares — a varredura oferece amplitude, e o teste de penetração oferece profundidade. Um programa maduro de Security usa os dois regularmente.

Teste sua compreensão dos conceitos de CompTIA Security+ (SY0-701) apresentados nesta lição.

Nesta lição, você aprendeu que a varredura de vulnerabilidades é automatizada, frequente e não intrusiva — identificando possíveis vulnerabilidades sem explorá-las — enquanto o teste de penetração é manual, orientado a objetivos e explora ativamente as vulnerabilidades para comprovar o impacto real e os caminhos de ataque; ambos exigem a devida autorização por meio de documentos de Regras de Engajamento; e a varredura com Credentials reduz significativamente os falsos positivos e falsos negativos em comparação com as varreduras não autenticadas. A seguir, exploraremos ferramentas comuns de varredura, incluindo Nessus, OpenVAS e Nmap.