As avaliações de vulnerabilidade avaliam sistematicamente o sistema, procurando por falhas e vulnerabilidades de segurança. A avaliação fornece informações à equipe de segurança para classificar, priorizar e corrigir as falhas de segurança.
As avaliações vão além do que você encontraria em uma verificação de vulnerabilidade típica, geralmente envolvendo uma equipe dedicada ou um grupo de hackers éticos terceirizados para realizar a avaliação.

Que tipos de ameaças as avaliações de vulnerabilidade encontram?

Uma avaliação de vulnerabilidade pode descobrir vulnerabilidades com vários graus de gravidade. Pode também confirmar que seu ambiente de TI está em conformidade com os padrões do setor e do governo. Abaixo estão algumas vulnerabilidades comuns encontradas durante uma avaliação típica.

• Senhas fracas facilmente adivinhadas ou forçadas com força bruta
• Vulnerabilidades de injeção de código que os invasores podem explorar por meio de injeção de SQL ou ataques XSS
• Aplicativos ou sistemas operacionais sem patches
• Erros de configuração, como configurações padrão inalteradas ou portas abertas e vulneráveis

As quatro etapas de uma avaliação de vulnerabilidade

Definição do Escopo

Antes que uma avaliação possa começar, o proprietário da rede deve definir o escopo para determinar quais redes, sistemas e aplicativos serão testados. O escopo geralmente é definido e separado por diferentes domínios ou subdomínios.
O escopo também pode incluir exatamente como testar vulnerabilidades e pode especificar outros parâmetros. Por exemplo, algumas organizações podem declarar que testar vulnerabilidades de e-mail não pode incluir ataques de phishing contra sua equipe e deve usar um endereço de e-mail específico.

Revisar as funções do sistema

Antes de executar a avaliação de vulnerabilidade, a equipe de segurança revisará os diferentes sistemas e aplicativos de escopo. A fase de revisão ajuda a determinar como uma vulnerabilidade explorada afetaria as funções de negócios.

Execução da verificação de vulnerabilidade

Os hackers podem usar várias ferramentas e técnicas para testar a integridade de um sistema. Os testadores geralmente começam com varreduras automatizadas que procuram primeiro as vulnerabilidades mais comuns, incluindo aplicativos, infraestrutura de rede e máquinas host.
Os testadores avançam com uma abordagem de teste manual que usa código personalizado para identificar vulnerabilidades. A codificação manual pode ser demorada, mas é fundamental para identificar bugs específicos do aplicativo e vulnerabilidades de dia zero.

Criação do Relatório de Avaliação de Vulnerabilidade

O relatório de avaliação descreve as vulnerabilidades de verificação identificadas e destaca as etapas de correção. Essas recomendações são combinadas com uma classificação de gravidade, permitindo que a equipe de segurança determine quais vulnerabilidades serão corrigidas primeiro.
A maioria dos relatórios de divulgação de vulnerabilidades inclui o seguinte:
• Nome da vulnerabilidade e hora da descoberta
• A pontuação de risco das vulnerabilidades com base em bancos de dados CVE
• Quais sistemas a vulnerabilidade afeta
• Prova de exploração de conceito ou uma demonstração de como um mau usuário pode usar as vulnerabilidades
• Etapas de correção

Tipos de Avaliações de Vulnerabilidade

As equipes de segurança podem direcionar as avaliações para sistemas específicos ou para toda a organização. Existem quatro tipos diferentes de testes:

Avaliações de rede 

As avaliações de rede visam recursos de rede na rede pública ou privada e testam as políticas de segurança no nível da rede.

Avaliações de aplicativos

As avaliações de aplicativos testam vulnerabilidades, como ataques de script entre sites e armazenamento criptográfico não seguro.

Avaliações de banco de dados

Durante uma avaliação de banco de dados, os hackers testam vulnerabilidades como injeções de SQL ou configurações incorretas. Esses testes podem identificar problemas como ambientes de teste inseguros e armazenamento inadequado de arquivos de banco de dados.

Avaliações do anfitrião

As avaliações de host examinam os servidores na rede em busca de vulnerabilidades e explorações, incluindo injeções de LDAP, escalonamento de privilégios ou contas com credenciais padrão fracas.

Ferramentas de avaliação de vulnerabilidade

Os hackers usam uma variedade de ferramentas para encontrar vulnerabilidades em diferentes sistemas e partes de uma rede.

OpenVAS

O OpenVAS é um scanner de vulnerabilidades que testa protocolos da Internet e inclui sua linguagem de programação interna, permitindo que os testadores personalizem ainda mais suas avaliações.

Nmap

O Nmap é uma ferramenta de mapeamento de rede amplamente utilizada que descobre portas abertas, serviços vulneráveis ​​e o layout de redes internas. O Nmap funciona bem em conjunto com outras ferramentas de sondagem no início das avaliações de vulnerabilidade.

Burp Suite

O Burp Suite fornece aos hackers ferramentas automatizadas de verificação de vulnerabilidades para testes internos e externos. É popular entre hackers novos e veteranos por causa de seus kits de ferramentas abrangentes.

Nessus

O Nessus é um software de código aberto que oferece varredura de vulnerabilidade em profundidade por meio de um serviço baseado em assinatura. Os hackers usam o Nessus para identificar configurações incorretas, descobrir senhas padrão rapidamente e realizar avaliações de vulnerabilidade.

Avaliação de Vulnerabilidade x Teste de Penetração

As avaliações de vulnerabilidade identificam vulnerabilidades, mas não exploram essas falhas. Muitas avaliações de vulnerabilidade usam uma ferramenta de verificação que classifica as vulnerabilidades, permitindo que os profissionais de segurança priorizem as vulnerabilidades para correção.
O teste de penetração é uma opção de teste de segurança diferente, começando com uma verificação de vulnerabilidade que usa testadores humanos para explorar vulnerabilidades para obter acesso não autorizado ao sistema.
As organizações usam testes de penetração para simular quanto dano um invasor pode causar se explorar vulnerabilidades de forma abrangente. As avaliações de vulnerabilidade, normalmente automatizadas, podem complementar os testes de penetração fornecendo insights frequentes entre os testes de penetração.

Bug Bounty x Avaliação de Vulnerabilidade

Os programas de recompensa de bugs usam testadores humanos para caçar bugs, descobrir vulnerabilidades e classificar sua gravidade. As recompensas de bugs incentivam os hackers a descobrir e relatar com sucesso vulnerabilidades ou bugs e são uma forma de as empresas aproveitarem a comunidade de hackers para melhorar a postura de segurança de seus sistemas ao longo do tempo.
Se o seu objetivo é a divulgação de vulnerabilidades e testes de segurança mais abrangentes, os programas de recompensas de bugs são uma escolha melhor, mas não descartam as avaliações de vulnerabilidades.
Os dois tipos de testes se complementam. Enquanto as recompensas de bugs aproveitam a segurança alimentada por hackers para descobrir vulnerabilidades mais complexas, as avaliações de vulnerabilidade oferecem consistência e conveniência, permitindo que as equipes de segurança avancem em testes de segurança focados e com restrição de tempo para grandes iniciativas, como lançamentos de produtos e recursos. Uma combinação dessas abordagens permite que as equipes de segurança resolvam melhor todas as vulnerabilidades, melhorem seus perfis de segurança e minimizem as explorações.

Esse artigo é uma tradução livre de https://www.hackerone.com/vulnerability-management/vulnerability-assessment-i-complete-guide

Clique aqui e veja como nós podemos te ajudar na implantação dos testes.