Bem-vindo à aula 81 do curso de Segurança da Informação. Hoje vamos mergulhar em um dos aspectos mais críticos e, muitas vezes, negligenciados do pentest: a segurança do próprio processo. Não basta apenas ter habilidades técnicas para invadir sistemas; é essencial conduzir o teste de forma controlada, ética e profissional. Esta aula cobre os pilares que garantem que um pentest seja seguro, legal e eficaz: escopo, regras de engajamento, evidências e relatórios.

Esses quatro pilares formam a espinha dorsal de qualquer teste de penetração bem-sucedido. Sem um escopo claro, você pode se perder ou ultrapassar limites. Sem regras de engajamento, você pode causar danos ou agir ilegalmente. Sem evidências, você não pode provar suas descobertas. E sem um relatório bem estruturado, o cliente não pode agir sobre os resultados. Vamos explorar cada um em detalhes, com exemplos práticos e boas práticas.

Scope

O escopo (scope) define os limites do pentest: quais sistemas, redes, aplicativos e dados estão autorizados a serem testados. É o contrato que protege tanto o pentester quanto o cliente. Um escopo bem definido evita mal-entendidos, problemas legais e danos acidentais a sistemas fora dos limites.

O escopo deve ser detalhado e específico. Ele pode incluir endereços IP, domínios, URLs, faixas de rede, aplicações web, APIs, dispositivos móveis, etc. Também deve especificar o que está fora do escopo, como sistemas de produção críticos, bancos de dados com dados sensíveis, ou serviços de terceiros. É fundamental que o escopo seja documentado e aprovado por todas as partes envolvidas antes do início do teste.

Exemplo de definição de escopo:

Escopo do Pentest
- Domínios: example.com, api.example.com
- IPs: 192.168.1.0/24 (somente hosts 10-20)
- Aplicações: https://app.example.com
- Fora do escopo: servidores de produção (DB, DNS), redes de terceiros
- Horários permitidos: Seg-Sex, 09:00-18:00 (GMT-3)
- Métodos permitidos: black box, sem ataques de negação de serviço (DoS)

Lembre-se: o escopo não é estático. Se durante o teste você descobrir um sistema que pareça relacionado, mas não está no escopo, pare e peça autorização para expandir. A comunicação contínua é vital.

Rules of engagement

As regras de engajamento (Rules of Engagement - RoE) são as diretrizes operacionais que definem como o pentest será conduzido. Elas complementam o escopo, especificando técnicas permitidas, horários, contatos de emergência, e ações a serem tomadas em caso de incidentes. As RoE garantem que o teste seja realizado de forma controlada e que imprevistos sejam tratados de maneira segura.

As RoE devem incluir:

  • Técnicas autorizadas: por exemplo, é permitido usar engenharia social? Ataques de força bruta? Exploits de dia zero?
  • Horários de teste: para evitar picos de uso ou impactos em operações críticas.
  • Contatos de emergência: quem acionar se algo der errado (ex: serviço cair).
  • Tratamento de dados: como lidar com informações confidenciais encontradas.
  • Autorização por escrito: confirmação formal de que o cliente autoriza os testes.
  • Limitações de impacto: por exemplo, proibição de causar indisponibilidade ou degradação de serviços.

Um exemplo de RoE pode ser visto abaixo:

Regras de Engajamento
- Técnicas: apenas testes manuais e automatizados não destrutivos.
- Horários: 08:00 às 22:00, de segunda a sexta.
- Contato de emergência: João Silva (cliente) - (11) 99999-0000; Maria Santos (pentester) - (11) 88888-0000.
- Dados: qualquer dado pessoal encontrado deve ser imediatamente reportado e não deve ser copiado.
- Se achar credenciais, não tente acessar sistemas adicionais sem autorização.
- Em caso de incidente (ex: indisponibilidade), interromper o teste e notificar imediatamente.

As RoE são um acordo entre o pentester e o cliente. Elas devem ser revisadas e assinadas antes do início do trabalho. Elas também protegem o profissional: se algo der errado, o pentester tem respaldo legal para suas ações, desde que esteja dentro das regras.

Evidence

Evidências são os registros que comprovam as vulnerabilidades encontradas e as ações executadas durante o pentest. Elas são essenciais para validar as descobertas, para que o cliente possa reproduzir os problemas e para proteger o pentester em caso de disputas. Sem evidências, um relatório de pentest não tem valor.

As evidências devem ser coletadas de forma sistemática e segura. Elas podem incluir:

  • Capturas de tela (screenshots) de telas, respostas HTTP, etc.
  • Logs de ferramentas (ex: saída do Nmap, Burp Suite, Metasploit).
  • Registros de tráfego de rede (pcap).
  • Documentos e arquivos encontrados no sistema.
  • Notas detalhadas de cada passo executado, com timestamps.

As evidências devem ser armazenadas de forma organizada e protegidas contra acesso não autorizado. Use pastas específicas, nomeie arquivos de forma clara e faça backups. Além disso, é importante que as evidências sejam íntegras: use hashes (ex: SHA-256) para garantir que não foram alteradas. Isso é crucial em processos judiciais ou auditorias.

Exemplo de organização de evidências:

Evidencias/
├── 01-recon/
│   ├── nmap-scan.txt
│   ├── subdomain-enum.txt
│   └── screenshots/
│       └── homepage.png
├── 02-exploitation/
│   ├── exploit-log.txt
│   ├── payload.ps1
│   └── screenshots/
│       └── shell-access.png
├── 03-post-exploitation/
│   ├── data-exfil.txt
│   └── screenshots/
│       └── password-hashes.png
└── hashes.txt

Lembre-se: as evidências devem ser coletadas com consentimento e dentro dos limites do escopo. Não colete mais dados do que o necessário para comprovar a vulnerabilidade.

Reporting

O relatório é o produto final do pentest. Ele comunica os resultados ao cliente de forma clara, objetiva e acionável. Um bom relatório não é apenas uma lista de vulnerabilidades; ele deve contextualizar cada achado, explicar o risco associado e fornecer recomendações de correção. O relatório é a entrega que o cliente pagou, portanto, deve ser profissional e completo.

Um relatório de pentest típico inclui:

  • Resumo executivo: para a alta gestão, com visão geral dos riscos e recomendações.
  • Metodologia: descreve as fases do pentest e as ferramentas utilizadas.
  • Escopo e objetivos: lembra o que foi testado e o que não foi.
  • Resultados detalhados: cada vulnerabilidade com severidade, descrição, passo a passo da exploração, impacto e correção.
  • Conclusão: resumo geral e próximos passos.

Exemplo de seção de vulnerabilidade em um relatório:

Vulnerabilidade: SQL Injection no parâmetro 'id' da página /produto.php
Severidade: Alta (CVSS 8.6)

Descrição: O parâmetro 'id' é concatenado diretamente em uma consulta SQL sem sanitização, permitindo injeção de comandos SQL.

Passos para reproduzir:
1. Acessar https://app.example.com/produto.php?id=1
2. Substituir o valor por 1' OR '1'='1
3. A página retorna todos os produtos, indicando a vulnerabilidade.

Impacto: Um atacante pode extrair dados confidenciais do banco de dados, como credenciais de usuários.

Recomendação: Utilizar consultas parametrizadas (prepared statements) e validar a entrada do usuário.

O relatório deve ser claro, mas também técnico. Use gráficos, tabelas e screenshots para facilitar a compreensão. Evite jargões desnecessários no resumo executivo, mas detalhe tecnicamente na parte principal. Sempre entregue o relatório em um formato seguro (ex: PDF com senha) e garanta que apenas as partes autorizadas tenham acesso.

Boas práticas e observações finais

Além dos quatro pilares, aqui estão algumas boas práticas para garantir a segurança do pentest:

  • Comunicação constante: mantenha o cliente informado sobre o progresso e qualquer imprevisto.
  • Documente tudo: desde a autorização até as evidências e relatórios.
  • Use ferramentas confiáveis: mantenha suas ferramentas atualizadas e configure-as adequadamente.
  • Respeite a lei: conheça a legislação local sobre testes de invasão e proteção de dados.
  • Preserve a integridade: não altere sistemas além do necessário e restaure qualquer alteração feita.
  • Confidencialidade: proteja os dados do cliente e os resultados do pentest.

Seguindo esses princípios, você não apenas realizará pentests eficazes, mas também construirá uma reputação de profissional ético e confiável. A segurança de pentest não é apenas sobre tecnologia, mas sobre processos e responsabilidade.

Exercícios

  1. Explique por que é importante definir um escopo claro em um pentest. Dê um exemplo de um escopo bem definido e um mal definido.

    ✓ Resposta: Um escopo claro define os limites do teste, evitando que o pentester acesse sistemas não autorizados, o que poderia causar danos e problemas legais. Exemplo bem definido: "Testar apenas a aplicação web em https://app.example.com, com IP 192.168.1.10, sem acesso ao banco de dados." Exemplo mal definido: "Teste a rede interna." Isso é vago e pode levar o pentester a testar tudo, incluindo servidores críticos.

  2. Cite três itens que devem estar presentes nas regras de engajamento e explique por que cada um é importante.

    ✓ Resposta: Três itens: 1) Horários de teste - para evitar impactos em operações críticas; 2) Contatos de emergência - para acionar rapidamente em caso de incidente; 3) Técnicas autorizadas - para garantir que o pentester não use métodos destrutivos ou ilegais. Cada item minimiza riscos e define limites claros.

  3. Por que as evidências devem ser coletadas com hashes? Como isso protege o pentester?

    ✓ Resposta: Hashes (como SHA-256) garantem a integridade das evidências, comprovando que não foram alteradas após a coleta. Isso protege o pentester em caso de disputas, pois pode provar que as evidências são autênticas e não foram adulteradas, o que é crucial em processos judiciais ou auditorias.

  4. Escreva um pequeno trecho de um relatório de pentest para uma vulnerabilidade de XSS (Cross-Site Scripting) em um campo de busca. Inclua severidade, descrição, impacto e recomendação.

    ✓ Resposta: 
    Vulnerabilidade: XSS Refletido no campo de busca
Severidade: Média (CVSS 6.1)

Descrição: O parâmetro 'q' da página /busca é refletido na página sem sanitização, permitindo injeção de scripts.

Impacto: Um atacante pode executar scripts no navegador da vítima, roubar cookies ou redirecionar para sites maliciosos.

Recomendação: Codificar a saída (HTML entity encoding) e validar a entrada do usuário.

  5. Quais são os quatro pilares abordados nesta aula e como eles se inter-relacionam para garantir a segurança de um pentest?

    ✓ Resposta: Os quatro pilares são: Escopo, Regras de Engajamento, Evidências e Relatórios. Eles se inter-relacionam: o escopo define os limites, as regras de engajamento definem como agir dentro desses limites, as evidências registram o que foi feito, e os relatórios comunicam os resultados. Juntos, garantem que o pentest seja legal, controlado, verificável e útil para o cliente.

Referências