Saltar para o conteúdo principal
VexaroSecurity
Glossário de segurança

Testes de intrusão vs análise de vulnerabilidades

Estes dois conceitos são muitas vezes confundidos, e por vezes vendidos como a mesma coisa, mas respondem a perguntas diferentes. Uma análise de vulnerabilidades pergunta «o que pode estar errado aqui?», enquanto um teste de intrusão pergunta «o que pode um atacante realmente fazer?». Normalmente precisa de ambos, com frequências diferentes.

Uma análise de vulnerabilidades: largura automatizada

Uma análise de vulnerabilidades é uma ferramenta automatizada que verifica os sistemas face a uma base de dados de problemas e configurações incorretas conhecidos e produz uma lista de potenciais vulnerabilidades, normalmente com uma etiqueta de severidade. É rápida, barata e repetível, o que a torna ideal para correr com frequência e cobrir muito terreno. Mas reporta possibilidades, gera falsos positivos e não lhe consegue dizer se um achado é realmente explorável no seu contexto.

Um teste de intrusão: profundidade conduzida por pessoas

Um teste de intrusão é conduzido por pessoas: um testador confirma as fraquezas explorando-as e encadeia problemas que, isoladamente, são menores num caminho de ataque realista. É isto que a automação não consegue fazer. O próprio OWASP ASVS nota que as ferramentas não conseguem verificar por completo os requisitos mais complexos nem os ligados à lógica de negócio e ao controlo de acessos. Um pentest encontra as falhas de lógica e de autorização (como o IDOR entre inquilinos) que os scanners, pela sua própria natureza, não apanham.

Largura vs profundidade, falsos positivos vs prova

Pense nisto como largura versus profundidade. Uma análise cobre muita superfície de forma superficial e deixa-o a triar o que é real; um pentest cobre um âmbito focado em profundidade e entrega-lhe achados confirmados, com prova de conceito, contexto de risco de negócio e remediação. O resultado de uma análise é um ponto de partida; o resultado de um pentest serve para decidir.

Quando usar cada um

Faça análises de forma contínua, por exemplo mensalmente ou a cada lançamento, para apanhar problemas conhecidos e regressões a baixo custo. Faça testes de intrusão periodicamente e em torno de mudanças significativas, quando precisa da garantia de que os caminhos de ataque reais estão fechados, ou quando um padrão o exige. Muitos regimes de conformidade esperam ambos: o PCI DSS, por exemplo, exige no Requisito 11 análises de vulnerabilidades regulares e testes de intrusão separados.

Perguntas frequentes

Uma análise de vulnerabilidades é uma ferramenta automatizada que compara os sistemas com uma base de dados de problemas conhecidos e reporta possibilidades; um teste de penetração é conduzido por pessoas e confirma as fragilidades explorando-as, encadeando problemas menores num caminho de ataque realista. Uma análise pergunta «o que pode estar errado?»; um teste de penetração pergunta «o que pode um atacante realmente fazer?».

Não. Uma análise reporta possibilidades, gera falsos positivos e não consegue dizer se um achado é realmente explorável. O próprio OWASP ASVS nota que as ferramentas não conseguem verificar por completo requisitos complexos ligados à lógica de negócio e ao controlo de acessos. Um teste de intrusão encontra as falhas de lógica e de autorização, como o IDOR entre inquilinos, que os scanners, pela sua natureza, não apanham.

Faça análises de forma contínua, por exemplo mensalmente ou a cada versão, para detetar problemas conhecidos a baixo custo. Faça testes de intrusão periodicamente e em torno de alterações significativas. Muitos regimes de conformidade esperam ambos: o PCI DSS, por exemplo, exige no Requisito 11 análises de vulnerabilidades regulares e testes de intrusão separados.

Fale com um profissional a sério.

Tem uma pergunta que estas páginas não responderam? Diga-nos o que está a tentar proteger e indicamos-lhe o projeto adequado. A primeira consulta é gratuita.