Há diversos procedimentos de auditoria que têm por objetivo aferir a segurança de uma rede, sistema ou aplicação. Cada um deles tem suas características, objetivos, vantagens e desvantagens próprias.

Com base nestes fatores, o auditor deve avaliar as necessidades de seu cliente a fim de definir qual auditoria de segurança é a mais adequada para atendê-las, e assim oferecer melhores resultados.

A auditoria Teste de Invasão é uma das auditorias de segurança que podem ser realizadas sobre ativos do cliente. O principal diferencial deste tipo de auditoria é que a avaliação de segurança é realizada através de simulações de ataques reais aos ativos do cliente.

Isto quer dizer que a auditoria Teste de Invasão vai além da simples identificação de potenciais vulnerabilidades. Ao contrário da simples identificação de vulnerabilidades, há verificação da representação de risco real destas e apreciação do impacto associado à exploração destas vulnerabilidades sobre a segurança da informação, além do próprio negócio do cliente.

A auditoria Teste de Invasão é uma das auditorias de segurança que podem ser realizadas sobre ativos do cliente. O principal diferencial deste tipo de auditoria é que a avaliação de segurança é realizada através de simulações de ataques reais aos ativos do cliente.

Motivação para realizar uma auditoria Teste de Invasão

O benefício gerado pela contratação de uma auditoria Teste de Invasão é difícil de definir para uma equipe gerencial (Return of Investment - ROI), pois qualquer auditoria é, por natureza, um procedimento preventivo, que visa mitigar, pró-ativamente, um problema que ainda não surgiu.

Uma forma de mensurar o benefício que uma auditoria Teste de Invasão traria a uma organização é comparar o custo da auditoria ao prejuízo estimado de um ataque bem sucedido, incluindo prejuízos associados à indisponibilidade de sites comerciais, ações judiciais por quebra de sigilo de informações de terceiros e até desconfiança dos clientes em manter sua relação comercial com a organização.

Além disso, a auditoria Teste de Invasão oferece uma visão ampla sobre a segurança da organização, permitindo homologar a segurança da mesma como um todo. Isto é, ainda que se implemente um mecanismo de segurança complexo para uma aplicação crítica, é possível que haja vulnerabilidades em outras aplicações ou até outros ativos que permitam contornar este mecanismo e comprometer a segurança da informação e dos próprios usuários.

De nada adianta, por exemplo, um modelo complexo de segurança em camadas, firewalls duplos, redundância e IDSs distribuídos, se um usuário utiliza por exemplo a senha "12345".

Finalmente, auditorias Teste de Invasão periódicas cada vez mais tem aparecido como requisito para conformidade com normas internacionais. No Brasil, este requisito já é exigido pelos padrões de segurança PCI-DSS e a família ABNT 27000.

Características das auditorias Teste de Invasão

Uma auditoria Teste de Invasão deve ser conduzida de forma totalmente transparente, ou seja, o escopo da auditoria deve ser cuidadosamente definido e todas as simulações de ataque modeladas, devem ser apresentadas previamente ao cliente para aprovação.

Em seguida, todo o processo deve ser minuciosamente documentado para que o cliente possa, de maneira simples, identificar quais atividades ofensivas são oriundas da auditoria. Além disto, é importante que o auditor seja capaz de estimar os impactos (inclusive efeitos colaterais) de cada vetor a ser explorado, pois o cliente pode querer limitar os testes temendo algum tipo de impacto no seu negócio.

Outros aspectos importantes que devem ser definidos antes da execução da auditoria são:

• A posição do auditor em relação aos ativos contemplados;
• O nível de conhecimento do auditor;
• O nível da equipe de gerência técnica dos ativos sobre a auditoria.

Estes aspectos são importantes, pois influenciam diretamente na forma como o teste é realizado e quais técnicas podem ser utilizadas.

Primeiramente, a posição do auditor em relação aos ativos contemplados diz respeito à localização da origem das simulações de ataque, isto é, a auditoria será realizada dentro da rede interna ou a partir da Internet.

A definição deste aspecto permite avaliar a segurança dos ativos frente às ameaças públicas vindas de opositores externos (auditoria externa) ou de ex-funcionários insatisfeitos, que se aproveitam do acesso interno que ainda possuem (auditoria interna).

Em seguida, o nível de conhecimento do auditor sobre os ativos diz respeito à quantidade de informação que é fornecida sobre os ativos. A definição deste aspecto permite avaliar a segurança dos ativos frente a ataques realizados por opositores que só conhecem informações públicas sobre os ativos (auditoria caixa preta), ou de ex-funcionários ou ex-desenvolvedores, que têm amplo conhecimento sobre a forma como a aplicação funciona (auditoria caixa branca).

Finalmente, o nível de conhecimento da equipe de gerência técnica destes ativos sobre a auditoria diz respeito ao quanto esta equipe sabe sobre a auditoria.

A divulgação da realização da auditoria (auditoria anunciada), por um lado, pode evitar que mudanças inadvertidas nos ativos contemplados sejam feitas durante a auditoria, alterando o resultado de algumas simulações de ataque, mas, por outro lado, pode ser encarada pela equipe técnica como uma verificação da qualidade do seu trabalho, que pode, propositalmente, fazer modificações temporárias que forneçam resultados enganosos para a auditoria.

Já a não divulgação da realização da auditoria (auditoria não-anunciada), permite que o cliente avalie a capacidade da equipe técnica em detectar e reagir às simulações de ataque, no entanto, pode dificultar a divulgação de informações sobre os ativos para auditorias caixa branca.