Penetration Testing

Pentest de Infraestrutura

Avaliação de redes, servidores e serviços — interna, externa ou ambas, conforme o escopo acordado.

O que é

O teste de infraestrutura avalia o que está exposto e o que é alcançável a partir de uma posição definida no escopo. A pergunta não é apenas quais serviços respondem, mas o que um adversário conseguiria alcançar a partir de cada ponto de apoio — e quanto o ambiente permite que ele avance.

Uma avaliação externa parte da internet; uma interna parte de uma posição dentro da rede, o que reflete o cenário em que um adversário já obteve algum acesso. As duas respondem perguntas diferentes e frequentemente são combinadas.

Quando faz sentido

Indicado para ambientes com serviços expostos à internet, após mudanças de topologia ou migração, e periodicamente como verificação da superfície acessível.

Escopo típico

Itens habitualmente considerados. A composição final é definida no escopo acordado e varia conforme o alvo.

Superfície exposta

Serviços alcançáveis a partir do ponto de origem definido no escopo.

Configuração de serviços

Parâmetros que ampliam desnecessariamente o que um serviço permite.

Componentes desatualizados

Versões com vulnerabilidades conhecidas e sua explorabilidade no contexto.

Autenticação de serviços

Credenciais fracas, padrão ou reutilizadas entre sistemas.

Segmentação

Alcance efetivo entre segmentos de rede a partir de cada posição avaliada.

Movimentação

Caminhos que permitiriam avançar a partir de um ponto de apoio inicial.

Referência técnica

  • Guia técnico — testes e avaliações

    NIST SP 800-115 Technical Guide to Information Security Testing and Assessment

    Guia para planejamento, execução e análise de testes técnicos de segurança em ambientes e infraestrutura. Orienta a organização do trabalho e o tratamento dos resultados.

  • Metodologia de execução

    PTES Penetration Testing Execution Standard

    Estrutura de execução do teste, quando aplicável ao formato do engajamento.

A citação descreve a base técnica do trabalho. Não constitui certificação, conformidade ou atestado emitido pelas organizações mencionadas.

Serviços relacionados

Pentest Web

Teste de intrusão em aplicações web.

Pentest de API

Teste de intrusão em interfaces de programação.

Vamos avaliar o escopo

Escopo formalmente definido e autorizado antes de qualquer execução.

Falar com a equipe