Avalie Vulnerabilidades com Hacks éticos - manequins

Se encontrar potenciais buracos de segurança, o próximo passo é confirmar se são vulnerabilidades em seu sistema ou rede. Antes de testar, realize algumas pesquisas manuais. Você pode pesquisar placas de mensagens de hackers, sites e bancos de dados de vulnerabilidades, tais como:

• Vulnerabilidades e Exposições Comuns

• Banco de Dados de Vulnerabilidade de US-CERT

• Base de Dados de Vulnerabilidade Nacional NIST

Estes sites apresentam vulnerabilidades conhecidas - pelo menos as classificadas formalmente. Você vê que muitas outras vulnerabilidades são de natureza mais genérica e não podem ser facilmente classificadas. Se você não consegue encontrar uma vulnerabilidade documentada em um desses sites, pesquise no site do fornecedor. Este site contém a lista de consenso SUL Top 20 Vulnerabilidades, compilada e atualizada pela organização SANS.

Se você não deseja pesquisar suas potenciais vulnerabilidades e pode entrar diretamente no teste, você tem algumas opções:

• Avaliação manual: Você pode avaliar as vulnerabilidades potenciais por meio de conectando-se às portas que estão expondo o serviço ou aplicativo e se mexendo nessas portas. Você deve avaliar manualmente determinados sistemas (como aplicativos da web). Os relatórios de vulnerabilidade nos bancos de dados anteriores geralmente revelam como fazer isso - pelo menos em geral. Se você tiver muito tempo livre, a execução desses testes manualmente pode funcionar para você.

• Avaliação automatizada: As avaliações manuais são uma ótima maneira de aprender, mas as pessoas geralmente não têm o tempo para a maioria das etapas manuais.

Muitas ferramentas de avaliação de grande vulnerabilidade testam falhas em plataformas específicas (como Windows e UNIX) e tipos de redes (com ou sem fio). Eles testam vulnerabilidades específicas do sistema e alguns se concentram especificamente na lista SANS Top 20 e no Open Web Application Security Project.

As versões dessas ferramentas podem mapear a lógica comercial dentro de uma aplicação web; outros podem ajudar os desenvolvedores de software a testar falhas de código. A desvantagem dessas ferramentas é que eles encontram apenas vulnerabilidades individuais; eles geralmente não correlacionam vulnerabilidades em toda uma rede. No entanto, o advento da segurança de informações e gerenciamento de eventos (SIEM) e sistemas de gerenciamento de vulnerabilidades está permitindo que essas ferramentas correlacionem essas vulnerabilidades.

Uma ferramenta de hacking ética favorita é um scanner de vulnerabilidades chamado QualysGuard by Qualys. É uma ferramenta de varredura portuária e de avaliação de vulnerabilidades, e oferece uma grande ajuda para o gerenciamento de vulnerabilidades.

QualysGuard é uma ferramenta baseada na nuvem para que você simplesmente navegue até o site Qualys, faça o login na sua conta e digite o endereço IP dos sistemas que deseja testar. A Qualys também possui um aparelho que você pode instalar em sua rede que permite a varredura de sistemas internos. Você simplesmente agende a avaliação e, em seguida, o sistema executa testes e gera excelentes relatórios, como estes:

• Um relatório executivo contendo informações gerais dos resultados da verificação.

• Um relatório técnico de explicações detalhadas das vulnerabilidades e contramedidas específicas.

  

Como com a maioria das ferramentas de segurança, você paga pelo QualysGuard. Não é a ferramenta cara menos , mas você obtém o que você paga, especialmente quando se trata de outras pessoas levando você a sério se a conformidade PCI DSS for exigida de sua empresa.

Com o QualysGuard, você compra um bloco de varredura com base no número de varreduras que você executa. Uma alternativa ao QualysGuard que muitas pessoas juram é o Nexpose da Rapid7, que tem uma versão gratuita (Community Edition) para digitalizar até 32 hosts.

Avaliar vulnerabilidades com uma ferramenta como a QualysGuard requer conhecimentos de acompanhamento. Você não pode confiar apenas nos resultados da verificação. Você deve validar as vulnerabilidades que informa. Estude os relatórios para basear suas recomendações sobre o contexto e a criticidade dos sistemas testados.