O teste de penetração (pentest)
- A)red box (conhecido como teste de penetração externo) ocorre quando o pen tester recebe pouca ou nenhuma informação sobre a infraestrutura de TI da empresa e visa simular um ataque cibernético do mundo real, no qual o testador assume o papel de um invasor desinformado.
Errada, porque descreve o black box pentest, no qual o testador tem pouca ou nenhuma informação sobre o ambiente.
- B)social engineering é usado para descobrir vulnerabilidades ou pontos fracos de segurança em aplicativos baseados na web e usa diferentes técnicas de penetração e ataques com o objetivo de invadir o próprio aplicativo da web.
Errada, porque social engineering é engenharia social, não um tipo de teste de penetração em aplicação web.
- C)black box envolve identificar e examinar as conexões entre todos os dispositivos conectados à rede wireless da empresa, incluindo laptops, tablets, smartphones e qualquer outro dispositivo da Internet das Coisas (IoT).
Errada, porque black box não é teste de rede wireless; é o teste com quase nenhuma informação prévia sobre o alvo.
- D)white box ocorre quando o testador tem total conhecimento e acesso ao código-fonte, visando realizar uma auditoria de segurança detalhada dos sistemas da empresa e fornecer ao pen tester o máximo de detalhes possível.
Certa, porque white box é o teste em que o avaliador tem amplo conhecimento do ambiente, inclusive código-fonte e detalhes internos.
- E)logical visa expor fraquezas e vulnerabilidades em controles lógicos (fechaduras, barreiras, câmeras ou sensores) para que as falhas e pontos fracos possam ser mitigados e soluções implementadas para fortalecer a segurança lógica.
Errada, porque o termo logical está inadequado e a descrição mistura controles físicos com lógica de forma incorreta.
Gabarito: D
Pentest, ou teste de penetração, é um simulado de ataque controlado para descobrir falhas de segurança antes que um invasor real faça a festa. A ideia é avaliar, na prática, se os controles da organização resistem a tentativas de invasão, exploração de vulnerabilidades e abuso de permissões. A classificação mais cobrada costuma ser pela quantidade de informação que o testador recebe. No teste black box, ele quase nao tem informações sobre o alvo, como se fosse um atacante externo. No white box, ocorre o oposto: o testador recebe informações amplas, podendo até ter acesso a códigos, arquiteturas e credenciais de teste, o que permite uma análise mais profunda. É exatamente por isso que o gabarito é a letra D. Ela descreve o white box pentest: total conhecimento e acesso ao código-fonte, com foco em uma auditoria de segurança detalhada. Em doutrina de segurança da informação, isso é associado a testes mais completos, porque o avaliador não trabalha no escuro e consegue examinar a aplicação e a infraestrutura com mais profundidade. Cuidado com a confusão dos nomes. Bancas gostam de trocar black box, white box e até inventar rótulos estranhos para ver se você está decorando termos sem entender a lógica. Aqui, basta lembrar: quanto mais informação o testador recebe, mais perto do white box ele está.