Pentest e segurança ofensiva: do escopo ao relatório profissional

Fundamentos de pentest e mercado - Apresentação

Apresentando o curso e o instrutor

Olá, estudante, seja bem-vinde ao curso de Pentest e segurança ofensiva: do escopo ao relatório profissional. Me chamo Rafael Raugi Machado e serei a pessoa instrutora de vocês durante este curso.

Audiodescrição: Rafael é uma pessoa de estatura baixa, 30 anos, pele clara, olhos castanhos, cabelos escuros e sem barba.

Sou analista sênior de segurança ofensiva. Como especialidades, realizo pentestes de infraestrutura e em Active Directory (Diretório Ativo), trabalho com Web Exploitation (Exploração Web) e conduzo operações de Red Team (Equipe Vermelha). Fui instrutor de guerra cibernética pelo Exército Brasileiro e tenho pós-graduação em guerra cibernética pela mesma instituição. Possuo certificações como OSWE e OSCP pela OffSec, além de CPTS e CJCA pela Hack The Box. Quem tiver interesse pode entrar em contato diretamente comigo pelo LinkedIn.

Apresentando a estrutura do curso

Neste curso, nós seguiremos um percurso completo: do primeiro contato com a pessoa cliente até a entrega do relatório profissional ao final do penteste. Ao longo do curso, abordaremos seis assuntos principais.

Primeiro, trataremos dos fundamentos de penteste, esclarecendo quais tipos de penteste existem, o que o mercado espera dessa prática e quais são os aspectos legais envolvidos na execução desses testes.

Segundo, discutiremos escopo e autorização, tema essencial para qualquer penteste. Analisaremos regras de engajamento, preparação, o que podemos ou não realizar e o que deve constar no contrato.

Terceiro, exploraremos frameworks (estruturas) essenciais: o que norteia a execução do penteste, onde essas diretrizes estão documentadas, como devemos conduzir o trabalho e por quais motivos. É fundamental nos atentarmos aos frameworks para não atuarmos fora do previsto no contrato e do que é reconhecido internacionalmente.

Quarto, abordaremos reconhecimento, tanto passivo quanto ativo, e daremos nosso primeiro passo prático, conteúdo que aprofundaremos futuramente no curso de penteste em infraestrutura.

Quinto, estudaremos a classificação de achados. Durante um penteste, podemos identificar diversas vulnerabilidades que precisam ser corretamente classificadas. Discutiremos níveis de criticidade, cálculo dessa criticidade e o uso de uma calculadora prevista nos frameworks, o CVSS, para orientar a priorização: o que é mais crítico, o que requer ação imediata e o que pode ser tratado em seguida.

Por fim, trataremos do relatório de penteste: como montar um relatório técnico, quais ferramentas podemos utilizar na sua elaboração e como produzir também o relatório executivo, voltado a outro público-alvo que terá contato com esse material.

Apresentando a metodologia do curso

Na metodologia do nosso curso, observaremos quatro pilares.

• Primeiro pilar: processo de ponta a ponta. Vamos abordar desde o primeiro contato com o cliente, quando definimos as regras de engajamento e o escopo, até o momento da entrega do relatório. Essa é uma das bases do curso.

• Segundo pilar: alinhamento com os frameworks (arcabouços) de mercado. Abordaremos PTES, Cyber Kill Chain, Unified Kill Chain e diversos outros frameworks (arcabouços) relevantes, que precisamos conhecer.

• Terceiro pilar: documentação profissional. Utilizaremos ferramentas de anotação como Obsidian, ferramentas amplamente utilizadas no mercado, e também ferramentas que facilitam a criação do relatório, como SysReptor, Ghostwriter e PwnDoc. Além disso, podemos tratar da criação da nossa própria ferramenta.

• Quarto pilar: visão de consultoria. O objetivo do relatório é entregar valor ao cliente e não simplesmente comprovar um acesso. Um relatório profissional não é conduzido como um jogo ou competição de captura de bandeira, como CTF (Capture The Flag, captura a bandeira). Ele deve, de fato, entregar valor ao cliente, explicando por que o completo domínio do ambiente importa para o negócio e por que determinada vulnerabilidade impacta o negócio. Nosso relatório precisa estar sempre orientado à entrega de valor para o cliente.

Concluindo e enfatizando relatório e valor ao cliente

Não adianta, durante o penteste, explorarmos diversas máquinas, obtermos múltiplos acessos e dominarmos o ambiente, e não entregarmos um relatório de qualidade. O relatório é o produto final e tem grande importância durante todo o processo de penteste.

Como conclusão, você, estudante, será capaz de conduzir um engajamento de penteste do escopo ao relatório, aplicando frameworks (arcabouços) internacionais que o mercado utiliza como referência e comunicando resultados com qualidade profissional. O objetivo não é apenas conquistar acesso administrativo em um servidor ou escopo, mas entregar valor agregado ao cliente.

Como pontos essenciais na conclusão:

• Manter o escopo definido; não podemos fugir do escopo.
• Iniciar cada engajamento com clareza e autoridade, transmitindo confiança ao cliente.
• Executar de forma estruturada, aplicando o framework (arcabouço) internacional e demonstrando ao cliente que seguimos o que é previsto e utilizado no mercado.
• Entregar um relatório profissional que gere ganho para o cliente que investiu no penteste.

Entendemos que segurança não é um investimento; é um custo. Não existe a possibilidade de realizarmos um penteste sem considerar segurança. Ao mesmo tempo, sabemos que, para o cliente, realizar um penteste tem um custo elevado. Portanto, precisamos entregar um relatório profissional que ofereça um custo-benefício interessante para o cliente.

Aguardo vocês na nossa próxima aula.

Fundamentos de pentest e mercado - Diferenciando disciplinas de segurança ofensiva

Apresentando o curso e estabelecendo premissas legais

Olá, pessoal. Eu sou o Rafael Raugi Machado.

Hoje, iniciamos o primeiro assunto do curso "Pentest e segurança ofensiva: do escopo ao relatório profissional". O tema é: o que é penteste e como o mercado o estrutura.

Antes de iniciarmos o conteúdo, gostaríamos de destacar um ponto fundamental: toda atividade profissional de penteste começa com uma premissa inegociável, a autorização formal. Conhecer os tipos de teste e a dinâmica do mercado não substitui o respaldo legal. Neste curso, todo cenário pressupõe escopo aprovado e autorização por escrito. Executar técnicas ofensivas sem autorização é crime. Devemos praticar apenas em ambientes de laboratório autorizados ou com escopo formal aprovado. Reforçamos que este ponto é extremamente importante e inegociável: toda e qualquer ação precisa estar devidamente autorizada por escrito.

Profissionais de Red Teaming (operações de equipe vermelha) costumam brincar que, em toda operação, carregam consigo o tempo inteiro a “carta de alforria”, isto é, a autorização formal assinada. Isso é especialmente relevante em ações de engenharia social e em penteste físico, em operações em ambiente real (ao vivo). Portanto, não devemos tratar isso de forma leviana, nem encarar algo como “apenas um teste”. Um exemplo comum: “Acabamos de criar uma aplicação na empresa; poderia verificar se ela está vulnerável?”. A resposta é não, pois qualquer ação sem a devida autorização constitui crime, sem margem para dúvidas.

Esse cuidado é essencial, sobretudo em relação ao escopo, assunto que abordaremos adiante. Embora seja raro, pode acontecer de, durante um penteste devidamente autorizado por escrito e com tudo alinhado, a pessoa profissional de penteste (pentester) sair do escopo por qualquer motivo e testar outros endpoints (pontos de extremidade) ou outros ativos não previstos no contrato. Em decorrência dessa ação, essa exploração poderia, por exemplo, derrubar um servidor de produção, como um banco de dados que processa diversas operações financeiras. Vejamos o problema: mesmo com autorização para um conjunto específico de testes, sair do escopo pode causar impactos graves. Portanto, devemos realizar pentestes apenas quando autorizados e estritamente dentro do escopo definido. Podemos estudar e treinar em nossos laboratórios; fora do laboratório, somente com autorização formal.

Diferenciando disciplinas de segurança ofensiva

Como nossa primeira aula de hoje, falaremos sobre penteste e disciplinas vizinhas. O objetivo é entender o que é e o que não é penteste, à luz das diversas áreas e ações presentes no mercado atual. Destacamos quatro disciplinas da segurança ofensiva: penteste, Red Team (equipe vermelha), Vulnerability Assessment (avaliação de vulnerabilidades) e Bug Bounty (recompensa por falhas). Agora, vamos compreender as diferenças entre elas.

O penteste é uma avaliação ofensiva com escopo e prazo muito bem definidos. É exploração real, porém dentro de limites. O que isso significa? O penteste é regido por contrato, no qual se define o escopo: se serão testados determinados endpoints (pontos de extremidade), determinados servidores web, se será testada a infraestrutura, se será testado o componente de hardware (equipamento). Existe, inclusive, penteste em hardware. Um exemplo é um penteste utilizando ferramentas como o Flipper Zero para realizar bypass (contorno) de portões eletrônicos, o que se caracteriza como penteste físico, um penteste de hardware. Nessa avaliação, a exploração de fato ocorre; não se trata de apenas constatar “este servidor web está vulnerável por conta da versão”. No penteste, verificamos na prática se a vulnerabilidade existe ou não, explorando-a de maneira controlada. Entretanto, tudo acontece dentro dos limites estabelecidos. E o que define esses limites? O escopo, o relatório e as regras de engajamento — aquilo que podemos fazer e até onde podemos ir.

Falando agora sobre operações de Red Team (equipe vermelha), também chamadas de exercícios vermelhos: são simulações de um adversário real com um objetivo específico. O foco está na detecção e resposta do defensor. A confusão comum entre penteste e Red Team decorre justamente do que cada um testa. O penteste testa um ponto, uma vulnerabilidade, um servidor, um ativo, uma rede. Porém, o penteste não testa o time de segurança (como o SOC — Centro de Operações de Segurança — ou o Blue Team — equipe azul). Quem realiza esse tipo de teste é a equipe de Red Team. Assim, o objetivo de uma operação de Red Team não é apenas verificar se um servidor web está vulnerável e como explorá-lo; a equipe utiliza conhecimentos de penteste para explorar um alvo com um objetivo definido, como avaliar se o SOC detecta atividades anômalas no ambiente, verificar se um determinado arquivo está devidamente protegido, comprovar a proteção de uma credencial de diretoria ou, ainda, testar a possibilidade de efetuar uma transferência financeira sem a devida autorização.

Observamos que o escopo em Red Team costuma ser mais amplo, exigindo um contrato mais complexo e com mais salvaguardas. Por exemplo, em um penteste, dificilmente utilizaremos engenharia social para exploração; já em operações de Red Team, dependendo do escopo e das regras de engajamento, é comum empregar engenharia social, como campanhas de phishing (fraude por isca) e acesso físico ao local (penteste físico). Em resumo, uma operação de Red Team pressupõe o uso de técnicas de penteste, mas o contrário não é verdadeiro: um penteste não pressupõe a execução de operações de Red Team.

Explorando avaliação de vulnerabilidades

Sobre o Vulnerability Assessment (avaliação de vulnerabilidades): trata-se de uma identificação ampla, geralmente realizada com o auxílio de scanners, sem exploração profunda. É como uma fotografia do ambiente, abrangente e de alto nível. Essa prática é muito utilizada por empresas com menor maturidade em segurança — por exemplo, organizações que ainda não possuem uma equipe de detecção e resposta a incidentes cibernéticos, que não contam com Blue Team (equipe azul) ou que não possuem um SOC (Centro de Operações de Segurança).

Empresas costumam priorizar o Vulnerability Assessment (avaliação de vulnerabilidades), uma fotografia geral do ambiente na qual identificamos os elementos mais críticos e evidentes. Por exemplo, um servidor Windows Server 2008 legado vulnerável a uma CVE (Vulnerabilidades e Exposições Comuns) antiga. O Vulnerability Assessment é o primeiro contato para realizar a limpeza inicial da maior parte dos problemas fáceis de ajustar.

Avançando para pentest

Após alguns Vulnerability Assessments, quando a organização está mais madura e já possui um SOC (Centro de Operações de Segurança) e um EDR (Endpoint Detection and Response) de ponta, monitorando o que as pessoas colaboradoras executam nas máquinas, avançamos para a execução de um Pentest (teste de invasão). Trata-se de um processo mais manual e robusto, um teste rigoroso que ocorre in loco, verificando profundamente cada vulnerabilidade.

Por fim, o Bug Bounty (programa de recompensas por bugs) é uma descoberta contínua, realizada por muitas pessoas pesquisadoras em um programa com recompensas. Está bastante em voga e funciona como uma “caça ao tesouro”. É muito utilizado por empresas extremamente maduras, que já realizaram diversos Vulnerability Assessments, diversos Pentests, possuem equipe de Red Team (equipe adversária) atuando continuamente e, em dado momento, convidam pesquisadores externos para procurar vulnerabilidades e receber recompensas correspondentes.

Considerando uma escala de maturidade, iniciamos com Vulnerability Assessment para organizar a “casa” de forma geral. Em seguida, partimos para Pentest, no qual a vulnerabilidade é de fato testada: não verificamos apenas a versão, mas tentamos explorar se estiver vulnerável, tornando o processo muito mais detalhado. Após isso, chegamos ao nível de Red Team, no qual a empresa atua com equipes que simulam um adversário real, aplicando técnicas utilizadas por agentes maliciosos para verificar se a equipe de defesa está em condições de depurar esses erros, verificar os problemas e detectar as ações maliciosas. Em conjunto com o nível de Red Team, colocamos o nível de Bug Bounty, adequado quando a empresa já é extremamente madura e possui muitos ativos, a ponto de as equipes de Pentest e Red Team não conseguirem cobrir tudo; assim, passamos a utilizar Bug Bounty.

Comparando disciplinas de segurança

Fazendo um comparativo rápido das disciplinas abordadas:

• Sobre Pentest: o objetivo é achar e explorar vulnerabilidades. Não apenas encontramos; realmente exploramos. O escopo é bem definido, o prazo é bem delimitado e a entrega é sempre um relatório — o produto final do Pentest é o relatório.

• Sobre Red Team: o objetivo é testar a detecção e a resposta. Não se trata simplesmente de achar e explorar vulnerabilidades, e sim de verificar se a equipe de defesa, o SOC, identificou que a ação foi realizada, por quem foi realizada e como foi detectada. O escopo e o prazo são muito mais amplos. Operações de Red Team podem durar, por exemplo, até um ano, pois a operação vai mimetizar ações de um grupo malicioso. Não há um escopo definido por tempo, mas sim por objetivo: enquanto o objetivo não for atingido, a operação continua. Há limites contratuais (por exemplo, seis meses ou um ano). A entrega vai além de um relatório: inclui uma narrativa, análise das lacunas de defesa e, muitas vezes, exercícios de replicação, conhecidos como Purple Team (equipe conjunta Red Team e Blue Team), que realiza exercícios entre Red Team e Blue Team (equipe defensora), os quais veremos em cursos futuros.

• Sobre Vulnerability Assessment: o objetivo é identificar falhas em larga escala, sem explorá-las como no Pentest. Buscamos uma fotografia do ambiente e registramos possíveis vulnerabilidades para, futuramente, serem testadas por um Pentest, por exemplo. O escopo é extremamente amplo, voltado a coletar o máximo de informações de qualidade possível, evitando falsos positivos. A entrega é, na prática, uma lista priorizada (muito crítico, menos crítico, precisa de Pentest, etc.). O Vulnerability Assessment anda lado a lado com o Pentest e, geralmente, é o que provoca a necessidade de um Pentest no ambiente, a depender da maturidade.

• Sobre Bug Bounty: é uma descoberta contínua; está sempre acontecendo, o tempo inteiro, e busca vulnerabilidades on demand (sob demanda). Assim que surge uma API (Interface de Programação de Aplicações) nova, um software (programa de computador) novo ou uma aplicação nova, o Bug Bounty já está atuando para encontrar possíveis vulnerabilidades. O escopo é definido pelo programa: por exemplo, permitir testar aplicativos mobile (dispositivos móveis) para Android e iOS, realizar apenas um Pentest web (aplicação web) em determinados endpoints (pontos de extremidade) etc. Um exemplo: em uma empresa de varejo com dez servidores web, cinco já maduros e cinco nem tanto, o programa pode incluir apenas os cinco mais maduros. Para os cinco menos maduros, é mais válido realizar Vulnerability Assessment e Pentests escopados para elevar a maturidade. Quando os cinco maduros já não apresentam vulnerabilidades críticas em Vulnerability Assessment e os Pentests não trazem mais achados críticos, e restam apenas pontos pontuais, passamos a tratar via Bug Bounty. A entrega são achados avulsos; não trabalhamos com um relatório ou lista abrangente, e sim vulnerabilidade por vulnerabilidade.

Lapidando com bug bounty

Nós gostamos de comparar esse processo com um diamante: quando o diamante já está pronto e queremos fazer a última limpeza, a última lapidação, entra o Bug Bounty, no qual buscamos aquela vulnerabilidade remanescente, e sua recompensa dependerá da criticidade.

Nos vemos na nossa próxima aula.

Fundamentos de pentest e mercado - Explorando black box, gray box e white box

Apresentando a aula e objetivos

Olá, pessoal, tudo bem? Rafael aqui mais uma vez.

Hoje, nós vamos iniciar a nossa Aula 2, tipos de penteste por conhecimento. O objetivo é verificar como o nível de informação dado à pessoa que realiza o teste de intrusão (pentester) altera o engajamento.

No contexto da aula de hoje, nós já verificamos a diferença entre penteste, Red Team (equipe vermelha), Vulnerability Assessment (avaliação de vulnerabilidades) e Bug Bounty (programa de recompensas por falhas). Dentro disso, principalmente em relação ao penteste, o que diferencia os tipos de penteste? Existem diversos tipos e precisamos entender como podemos, de fato, precificar cada um.

Hoje, nós vamos aprofundar nos três tipos de penteste mais comuns na contratação: Black Box (caixa-preta), Gray Box (caixa-cinza) e White Box (caixa-branca). A principal diferença entre esses três tipos está na quantidade de informação fornecida à pessoa profissional de teste de intrusão.

Definindo black box, gray box e white box

No modelo Black Box (caixa-preta), trabalhamos com zero informação prévia interna. Quando falamos em zero conhecimento, isso não significa ausência de ação por parte da pessoa profissional; pelo contrário, espera-se que busque informações na internet por meio de OSINT (Open Source Intelligence — Inteligência de Fontes Abertas), colete dados de fontes públicas e investigue a rede. Esse é justamente o objetivo do penteste Black Box: simular o comportamento de uma pessoa atacante externa, sem qualquer informação interna, frente a um sistema ou servidor web. Avaliamos o que seria possível descobrir nesse contexto. Esse tipo de teste demanda bastante tempo, pois é necessário analisar o alvo, interagir com o servidor, observar o comportamento do sistema, entender as regras de negócio e, então, conduzir o penteste.

No modelo Gray Box (caixa-cinza), existe informação parcial. Às vezes, recebemos um acesso inicial, uma credencial, um diagrama de arquitetura ou um panorama de funcionamento da empresa. É o tipo de dado que consideramos para o contexto de insider (pessoa interna). Atualmente, no mercado, esse é o tipo de penteste mais comum: comportamo-nos como uma pessoa funcionária ou colaboradora, com acesso a algumas informações privilegiadas, mas sem privilégios elevados. De posse dessas informações, ganhamos muito tempo no penteste, pois reduzimos a necessidade de fazer toda a enumeração e parte das análises iniciais; muitas das informações úteis para a condução do teste já estão disponíveis.

Por fim, no modelo White Box (caixa-branca), há acesso total: código-fonte, credenciais, arquitetura e demais artefatos. A ideia do teste é alcançar profundidade. Não se trata mais de atuar como agente externo ou como insider, e sim de realizar algo muito próximo a um Code Review (revisão de código) sobre a estrutura disponível, buscando vulnerabilidades diretamente no código e nos componentes do sistema.

Relacionando conhecimento, modelos e esforço

Falando mais sobre o cruzamento entre conhecimento, tipo de teste e esforço, podemos falar sobre o seguinte quadro:

Iniciamos com três modelos de teste: Black Box (caixa-preta), Gray Box (caixa-cinza) e White Box (caixa-branca). No modelo Black Box, não recebemos nenhuma informação prévia. No Gray Box, recebemos informação parcial. Mesmo pouca informação já ajuda bastante no acesso inicial, porém trata-se apenas de informação de uma pessoa usuária interna comum. No White Box, há acesso total: tudo de que nós precisarmos, basta solicitar para obter acesso às informações.

O que cada ação simula? O modelo Black Box simula uma pessoa atacante externa. O Gray Box simula um(a) insider (pessoa interna) ou até mesmo uma pessoa cliente que possui informação e acesso a um sistema fechado, no qual apenas clientes têm acesso. No White Box, podemos falar em revisão completa.

Qual é o tempo para cobrirmos cada cenário? O modelo Black Box demanda bastante tempo, pois precisamos entender toda a infraestrutura e as regras de negócio. Quanto mais tempo nós tivermos, melhor será o penteste e melhor compreenderemos o funcionamento da aplicação. No Gray Box, não precisaremos de tanto tempo, afinal grande parte do esforço de observação e coleta de informações já foi entregue; trata-se de uma ação a partir de uma perspectiva interna. No White Box, o tempo para cobrir o escopo geralmente é muito baixo. Pentestes White Box são mais raros e costumam ocorrer em empresas mais maduras que, ao trabalharem com código novo, desejam realizar um Code Review (revisão de código) com o olhar de uma pessoa atacante — algo que nem sempre quem realiza a revisão de código possui. Quando contamos com uma pessoa atacante especializada, principalmente em Web Exploitation (exploração web), ela consegue ler o código-fonte e, a partir dele, identificar exatamente as linhas que podem introduzir vulnerabilidades.

Comparando a cobertura entre os modelos

Falando sobre cobertura, o Black Box apresenta cobertura significativamente menor que os demais tipos de penteste, porque atuamos apenas sobre o que conseguimos descobrir. Durante um penteste Black Box, não é incomum uma pessoa tester (pessoa testadora) conseguir realizar um teste, obter algum tipo de acesso e escalar privilégios, mas em apenas 5% da plataforma ou em um espaço específico da empresa. Isso ocorre porque a pessoa testadora não tinha conhecimento de toda a área e, durante o teste, esse conhecimento não foi necessário para atingir o objetivo definido no escopo.

A cobertura do Gray Box é muito boa e, em geral, oferece o melhor custo-benefício. Em pentestes Gray Box, as empresas fornecem os dados que desejam que nós testemos. Assim, durante o teste, atendemos exatamente ao que a empresa espera, sem deixar partes do escopo de fora e sem extrapolar além das informações fornecidas. Tudo permanece amarrado ao escopo do teste.

Por fim, o White Box proporciona cobertura máxima. O teste tem acesso a tudo e, portanto, testará tudo.

É isso. Continuaremos na próxima aula. [♪]

Sobre o curso Pentest e segurança ofensiva: do escopo ao relatório profissional

O curso Pentest e segurança ofensiva: do escopo ao relatório profissional possui 296 minutos de vídeos, em um total de 54 atividades. Gostou? Conheça nossos outros cursos de Red Team & Pentest em Cibersegurança, ou leia nossos artigos de Cibersegurança.

Matricule-se e comece a estudar com a gente hoje! Conheça outros tópicos abordados durante o curso:

• O que é pentest e como o mercado o estrutura