Metodologia

Metodologia

A abordagem é definida de acordo com o objetivo, a tecnologia, o escopo, a maturidade do ambiente e as regras de engajamento acordadas.

Processo

Como conduzimos uma avaliação

A sequência abaixo descreve o percurso típico de um trabalho. A composição, a profundidade e a ordem variam conforme o escopo e o objetivo da avaliação — nem todo projeto inclui todas as etapas da mesma forma.

  1. Planejamento e regras de engajamento

    Objetivo da avaliação, alvos, janelas de execução, contatos, critérios de parada e limites são formalizados e autorizados antes de qualquer atividade.

  2. Reconhecimento

    Levantamento das informações necessárias para entender o alvo e o contexto em que ele opera, dentro do que o escopo autoriza.

  3. Modelagem e entendimento da superfície

    Organização do que foi identificado: componentes, fluxos, confianças e pontos de entrada relevantes para o objetivo do teste.

  4. Análise de vulnerabilidades

    Identificação de fragilidades candidatas, combinando verificação técnica e análise do comportamento do alvo.

  5. Validação e exploração controlada

    Confirmação de que a fragilidade é de fato explorável no contexto avaliado, dentro dos limites acordados e com registro do que foi feito.

  6. Avaliação de impacto

    Análise do que a exploração permitiria alcançar no ambiente real — o que separa um achado teórico de um risco concreto.

  7. Evidências e classificação

    Registro reproduzível de cada achado e classificação orientada a risco, para sustentar a priorização.

  8. Relatório

    Relatório técnico para as equipes responsáveis e relatório executivo para leitura de decisão.

  9. Recomendações

    Orientações de correção e de mitigação aplicáveis a cada achado.

  10. Reteste e acompanhamento

    Verificação das correções e suporte à remediação, quando previstos no escopo contratado.

Referenciais técnicos

Processo de execução e referências por tecnologia

Um padrão de execução dá a estrutura do trabalho; os guias técnicos dão cobertura ao que precisa ser verificado em cada tipo de alvo.

Metodologia de execução

PTESPenetration Testing Execution Standard

Padrão que estrutura um teste de intrusão em fases encadeadas, do alinhamento inicial ao relatório. Serve como espinha dorsal do processo, independentemente da tecnologia avaliada.

  • Pré-engajamento — escopo, autorização e regras de engajamento
  • Coleta de informações (intelligence gathering)
  • Modelagem de ameaças (threat modeling)
  • Análise de vulnerabilidades
  • Exploração controlada (exploitation)
  • Pós-exploração (post-exploitation)
  • Relatório (reporting)

Guia técnico — aplicações web

OWASP WSTGWeb Security Testing Guide

Referência técnica para avaliação de aplicações e serviços web. Organiza o que precisa ser verificado em uma aplicação, dando cobertura e consistência ao teste.

  • Configuração e implantação
  • Gestão de identidade
  • Autenticação
  • Autorização
  • Gerenciamento de sessão
  • Validação de entrada
  • Lógica de negócio
  • Comportamento client-side
  • APIs, quando fazem parte do escopo

Guia técnico — aplicações mobile

OWASP MASTGMobile Application Security Testing Guide

Estrutura técnica para testes de segurança em aplicações móveis e análise dos controles presentes no aplicativo. Aplica-se às avaliações de Android e iOS.

  • Armazenamento de dados no dispositivo
  • Uso de criptografia
  • Autenticação e gestão de sessão
  • Comunicação de rede
  • Interação com a plataforma
  • Qualidade de código
  • Resiliência do aplicativo

Guia técnico — testes e avaliações

NIST SP 800-115Technical Guide to Information Security Testing and Assessment

Guia para planejamento, execução e análise de testes técnicos de segurança em ambientes e infraestrutura. Orienta a organização do trabalho e o tratamento dos resultados.

  • Planejamento da avaliação
  • Técnicas de revisão
  • Identificação e análise de alvos
  • Validação de vulnerabilidades
  • Análise e tratamento dos resultados

A menção a estes referenciais descreve as bases técnicas do trabalho. Não constitui certificação, conformidade nem atestado emitido por qualquer das organizações citadas.

Riscos, controles e governança

Categorias diferentes, papéis diferentes

Estes três não são metodologias de teste. Cada um cumpre um papel distinto e aparece sob a categoria correta.

Referência de riscos

OWASP Top 10

Catálogo das categorias de risco mais comuns em aplicações web. É uma referência de riscos — não descreve como conduzir um teste. Usada como complemento ao WSTG.

Framework de controles

CIS Controls

Conjunto prescritivo de controles de segurança. É a base documentada do serviço de Gap Analysis e apoia a priorização em gestão de vulnerabilidades.

Norma de gestão

ISO/IEC 27001

Norma de sistema de gestão de segurança da informação. Entra como contexto de governança e compliance — não é metodologia de teste de intrusão.

Aplicação

Referenciais por tipo de avaliação

O referencial acompanha a tecnologia e o objetivo do teste, não o contrário.

ISO/IEC 27001 não figura nesta relação: seu papel é de contexto de governança e compliance, e não de referencial de execução de teste.

Vamos avaliar o escopo

O primeiro passo é entender o objetivo, a tecnologia envolvida e os limites do trabalho.

Falar com a equipe