Segurança da Informação

Como desenvolver um bom relatório de PenTest? A partir de um relatório de PenTest é que uma organização vai definir sua estratégia.

Em um PenTest uma das etapas essenciais são os relatórios finais, pois é aonde você vai evidências todo o processo realizado em um teste, seja os seus detalhes e os métodos utilizados no processo.

A partir de um relatório de PenTest é que uma organização vai definir toda à etapa decisiva para implementar os melhores controles de segurança para remediar as vulnerabilidades encontradas.

Porém, antes de tudo, você não pode confundir uma Analise de Vulnerabilidade com um PenTest, quer ver à diferença?

Analise de Vulnerabilidade: Tem como objetivo, levantar todas as vulnerabilidades de um ambiente para realizar sua gestão depois, mas claro que nem todas as ferramentas tem como propósito gerir uma vulnerabilidade, que seria o processo de remediar ou tomar as melhores medidas para que essa vulnerabilidade não se torne um risco gigantesco. Em resumo, uma analise de vulnerabilidade tem como objetivo ver a saúde de um ambiente e calcular o seu risco a partir disso.

PenTest: Já o PenTest é algo mais Hardcore, é o momento que você não fica apenas na analise, mas também testa as vulnerabilidades para ver o impacto que ela traria caso um Hacker Malicioso ou um Cibercriminoso explora-se essas vulnerabilidade. Porém, em um PenTest você tem N diferentes formas de trabalhar, sendo o mais famoso o Black Box aonde você simula um ataque real ou o máximo possível da realidade, sem conhecimento nenhum do ambiente.

Agora que você já sabe mais ou menos o que é um PenTest, vamos direto ao assunto, caso você queira conhecer as metodologias por trás de um PenTest eu recomendo:

http://www.pentest-standard.org/index.php/Main_Page

https://www.isecom.org/research.html

https://nvlpubs.nist.gov/nistpubs/Legacy/SP/nistspecialpublication800-115.pdf

Existem outras, mas essas três são as mais famosas, fora o Mitre Attack e o Cyber Kill Chain que são frameworks que podem te ajudar nos seus testes. Agora vamos para o que interessa.

Qual é o objetivo de um relatório?

Por que temos que relatar algo? É óbvio que com um relatório você consegue ter uma prova de conceito mais concreta sobre os testes realizados no ambiente, porém existem outros motivos, como por exemplo:

• Ajudar à equipe de Gestão ou a alta diretoria à realizar investimentos necessários para implementar os melhores mecanismos de proteção;
• Dar suporte à equipe de segurança e de operação para solucionar os principais problemas de segurança no ambiente;
• O Relatório serve como métrica para medir à maturidade do negócio daquela empresa e a sua importância com a segurança, além de medir o trabalho da equipe de segurança sobre a aplicação das melhores práticas de proteção;
• Serve como uma prova dos testes realizados e de que tudo foi devidamente realizado sem fugir do escopo determinado;
• E provê informações relevantes sobre os testes realizados no ambiente caso aja um incidente durante ou posteriormente, após os testes de vulnerabilidade;

Em resumo são esses alguns dos motivos, mas poderia citar milhares, pois documentar algo é um processo bastante importante na área de segurança da informação. Se você for contratar um serviço de PenTest, questione o prestador sobre o modelo de relatório e as metodologias utilizadas no teste, claro isso é definido no KICK-OFF ou antes mesmo, quem é mais comercial pode auxiliar nessa questão..

E claro, existe os tipos de relatórios que são desenvolvidos de acordo a necessidade da empresa e por quem será lido.

Tipos de relatórios

Existem diversos, porém os mais comuns são:

• Relatório Executivo: Nesse relatório você tem o resumo dos testes, todo seu processo, tempo gasto e o que foi testado, além dos resultados que você obteve nesses testes e as recomendações também;
• Relatório de Host: Esse geralmente é utilizado em PenTest ao qual o serviço é cobrado por Host ativo na rede, então no relatório você tem todos os detalhes do Host, sua função, seus serviços, suas vulnerabilidades e o resultado final;
• Relatório do Lado Cliente: Nesse você dá os detalhes do que você levantou do lado cliente, ou seja, o que você consegue levantar realizando testes na perspectiva de um usuário, seja um exploit para versão da aplicação utilizada, detalhes de outros usuários, informações de sistemas comprometidos ou expostos e etc;
• Relatório de Vulnerabilidades: Em resumo, você vai ter os detalhes de todas as vulnerabilidades encontradas no PenTest e as que são mais fáceis de explorar ou as mais difíceis;
• Relatório Ativo: Por fim, esse é o relatório mais utilizado ao qual descreve todos os detalhes e informações das tarefas utilizadas em um PenTest;

Com base nesses relatórios, você mescla todos eles e faz o Report Final ou o Full Report que contém todos os detalhes necessários para que à equipe de segurança possa iniciar o processo de mudanças no ambiente e gerir todos os riscos.

Mas como fazer um bom relatório de PenTest? Essa é à dúvida de muitos, por isso vou tentar dar algumas dicas, mas antes, uma recomendação.

Primeiramente é necessário que você tenha um relatório de Linha de tempo antes, principalmente para definir o momento em que você inicia os testes, no caso, horário e data do terminal e de um relógio confiável, além das informações de hosts que você vai cutucar, pois qualquer incidente que ocorrer você não será responsável caso seja um servidor que você nem esteja mexendo no momento, pois já teve cases de colegas que ao realizarem os testes de vulnerabilidade em um servidor, ele caiu e infelizmente ter tido algumas dores de cabeça por não possuir o relatório de linha de tempo, mas depois provou-se ao contrário e o servidor caia direto.

Como fazer um bom relatório de PenTest?

• Seja conciso e objetivo, não coloque informações técnicas em um relatório executivo, não é necessário, faça algo que até alguém leigo consiga entender a gravidade;
• Em um relatório ativo ou um Full Report é recomendado que você escreva de uma forma profissional, sem achismo, mas sim certezas com base e fundamentos, lembre-se que uma vulnerabilidade simples pode custar milhões no futuro;
• No relatório final é sempre bom ter Provas de Conceitos, ferramenta que foi utilizada para o teste, informações da vulnerabilidade encontrada, grau de risco, seu impacto e até mesmo até onde você consegue chegar;
• Caso esteja no escopo, você deve justificar as recomendações utilizadas e as analises feitas para isso, pois uma correção pode ser que traga problemas, então ter uma fonte confiável deixa seu relatório com mais propriedade ainda, caso ainda não tenha um patche é sempre bom colocar informações do que pode ser feito para ir gerindo aquela vulnerabilidade e controlar seu risco. Geralmente você pode citar isso em uma apresentação executiva ou para equipe de segurança;
• Informar os padrões e metodologias utilizadas nos seus testes, pois assim você consegue trazer a confiança do cliente quando você utiliza metodologias reconhecidas no mercado;
• Sempre antes de fazer um relatório, faça o planejamento, colete e documente as informações que você vai adquirindo no processo de pentest, desde da fase inicial, escreva o seu relatório e por fim faça á revisão dele, seja no quesito ortografia ou até mesmo dos dados coletados. Um template seu é sempre bem vindo e essenciais, todos nós devemos ter, mas muita das vezes as coisas mudam de um cliente para o outro, por isso não seja genérico, trate seu cliente com exclusividade 
• E claro, garanta a confidencialidade do seu relatório, seja enviado por um e-mail criptografado (PGP) ou até mesmo enviado por canais seguros, pois um relatório na mãos erradas, é que nem jogar gasolina em uma queima de pneus, só vai piorar!

Por fim, como planejar e revisar o meu relatório?

Planejando e Revisando seu relatório de PenTest

• Determinar o objetivo principal do seu relatório de PenTest, dar um contexto, pois tendo um propósito principal você consegue revisar o seu relatório com informações relevantes;
• Defina para quem será tal relatório antes de planejar, pense que cada um tem um grau diferente de compreensão, pois é óbvio que o Diretor não tem a mesma visão de um especialista em segurança, então sempre faça o seu planejamento pensando na audiência alvo;
• Considere planejar o tempo do projeto de PenTest junto com o relatório, pois com todo o processo realizado você vai precisar ter um tempinho a mais para dar uma tratada na documentação para assim gerar um relatório legível e agradável, exemplo são as certificações da Offensive Security e da eLearning Security também;
• Por favor! Mantenha a confidencialidade do PenTest, não saia compartilhando nas redes sociais prints do seu terminal, isso além de ser antiético, desqualifica qualquer profissional na hora, sempre mantenha informações sensíveis em locais separados e de preferência criptografados com fácil recuperação;
• Determine o formato fínal do relatório com o cliente, sempre de acordo com o que foi definido no inicio, antes de sair compartilhando alguma informação, tenha consentimento legal da empresa para não ter futuras dor de cabeça;
• Na hora da revisão é sempre bom ter perspectivas de pessoas diferentes, por isso é sempre bom mais de um para ajudar no desenvolvimento dos seus relatórios;
• Depois de revisar o relatórios é sempre bom salvar um cópia e guardar as mudanças feitas;
• Prepare o formato do relatório final que o cliente deseja, seja no formato de documento ou de apresentação;
• Coloque sempre à importância de um PenTest, seja para se adequar à um padrão como o PCI, mas também para proteger seu ambiente e medir o risco da sua organização;
• E as recomendações da remediação ou é pesquisador pelo time de segurança da empresa, ou caso contrate seus serviços, você mesmo pesquisa e coloca no relatório;

Conclusão

Essas são algumas dicas que eu deixo para você desenvolver seu relatório de PenTest, sendo uma das etapas mais chatas e uma das mais decisivas em um PenTest, pois um relatório é seu cartão postal de fidelidade com o cliente e o bilhete premiado dele.

Caso precise de uma ferramenta para auxiliar você nos testes de vulnerabilidades ou até nos seus estudos, eu aprimorei um script que faz backup dos seus dados diretamente na nuvem via terminal.

https://github.com/CyberSecurityUP/backup-fu

Se procura templates, segue meu outro repositórios.

https://github.com/CyberSecurityUP/information-security-relatory

E claro, siga outros profissionais da área que possuem mais experiências!

Security Awareness|Ethical Hacker|OWASP|Wireless Hacking|Cyber Security Consultant|Cyber Security Mentor|Article Writer|Offensive Security

A LGPD e o mito do advogado que entende de dados. Advogados não superam questões técnicas de segurança da informação e os CISOs não solucionam questões legais. 

Para Adriano Mendes, advogado especialista e DPO, CISOs e Advogados, cada um deve fazer bem o seu papel na jornada rumo à LGPD, sucesso e competência em uma área não significa aptidão em tudo.

Se o Jurídico não é o mais importante para a LGPD e dados pessoais, para que serve o assessment jurídico neste contexto?  Você contrataria um monte de advogados para desenvolver um software ou fazer o marketing da sua empresa?!

Já assumindo a postura ética que todos deveriam ter, a nossa resposta é que nenhum advogado bom é capaz de superar um consultor ruim de segurança da informação em questões que envolvam a tecnologia, ambientes ou configurações lógicas!

Infelizmente, se um advogado perguntar se a empresa tem criptografia ou usa algum tipo de firewall e a resposta for sim; ele ficará muito contente e anotará isso numa planilha.

Em matéria publicada pelo Blog Minuto da Segurança em 2019, Adriano mendes contou leuum artigo no LinkedIn que dizia do problema em transformarmos pessoas bem sucedidas em uma área em heróis para toda a vida e em todas as áreas. Não é porque alguém canta ou joga futebol bem que será também um bom empresário ou pai de família.

Como o artigo nos parece muito atual e importante, resolvemos re-editar aqui no Blog para você, nosso leitor mais atento ao tema.

Cada um deve fazer bem o seu papel na jornada rumo à LGPD

Creio que estamos vivendo mitos assim agora que a #LGPD já é parte do vocabulário de muitas empresas e profissionais afins.

A proteção de dados é agora o que já vivemos com Compliance, CDC, #SOX e o “bug do milênio” de antes. A diferença é que não há data de corte e sim muito trabalho em todas as frentes para adequação, conscientização, conformidade legal e sustentação das operações.  

Nem mesmo as empresas multinacionais estão adequadas totalmente à #LGPD, porque agora o foco é certificação e integridade de dados pessoais tratados no Brasil. Além disso a #ANPD será uma nova Autoridade de Controle brasileira. Portanto, assim como a nossa tomada de três pinos, as interpretações e conceitos podem ser diferentes da maturidade europeia.

Mesmo sendo derivada e inspirada na GDPR, a Proteção de Dados Pessoais demandará muito trabalho ainda antes de estar “pronta”. Interna ou externamente serão necessários assessments/gap analysis técnicos, mapeamento de dados, ISO 27001, PCI, venda de soluções e equipamentos para segurança, acesso e backup, desenvolvimento e adaptação de aplicações, ferramentas de controle de privacidade, Data Privacy Management Systems; soluções para criptografar e anonimizar banco de dados e muito mais!  

Pode haver um único gestor, mas é um mito que exista um único vendor ou “bala de prata” que consiga solucionar todos os pontos trazidos pela LGPD, em todos os segmentos ou para todas as empresas. Cada negócio deverá olhar para as suas necessidades de adequação e conscientização antes de decidir o que implementar. Isto deverá ser feito diretamente ou através de seus Trusted Advisors e um ecossistema próprio.

Dentro do Assis e Mendes, a Proteção de Dados pessoais não é um assunto novo. Há quase 15 anos trabalhamos com #DireitoDigital e sempre tivemos contatos e desafios jurídicos envolvendo grandes volumes de informações e bancos de dados de milhares de usuários.

Mesmo assim confesso que desde que começamos a implementar a #GDPR em 2.017 para empresas brasileiras, aprendemos e aprofundamentos nossos conceitos sobre Privacidade, Finalidade e o que é razoável na equação entre Tecnologia e Segurança e Orçamento. Mesmo com tanta bagagem e interesse na área, não me julgo especialista ou capaz de cobrir todas as nuances que a #LGPD necessita.

Mas a principal lição foi o contato com diversas empresas europeias e o entendimento dos passos que seguiram na Europa para adequação à #GDPR.

Como agora está ocorrendo aqui no Brasil, houve a corrida do ouro de escritórios de advocacia que vendiam pareceres sobre o que significava a Lei; depois de vendedores de ferramentas que poderiam resolver questões ligadas aos pareceres.

Finalmente o mercado europeu amadureceu e encontrou empresas de serviços e consultorias específicas para servirem como Trusted Advisors.

São estes parceiros que realmente entendem as necessidades de cada negócio e apoiam as empresas desde a conscientização até o mapeamento dos dados e implementação técnica e operacional dos novos conceitos. 

Ficamos felizes de hoje podermos trabalhar com diferentes parceiros e consultorias de todos os tipos nos novos desafios do Brasil e hoje também sermos reconhecidos como Trusted Advisors quando o assunto é Proteção de Dados.

Interessante! Mas se o Jurídico não é o mais importante para a LGPD e dados pessoais, para que serve o assessment jurídico neste contexto?
Você contrataria um monte de advogados para desenvolver um software ou fazer o marketing da sua empresa?!
Já assumindo a postura ética que todos deveriam ter, a nossa resposta é que nenhum advogado bom é capaz de superar um consultor ruim de segurança da informação em questões que envolvam a tecnologia, ambientes ou configurações lógicas!

Infelizmente, se um advogado perguntar se a empresa tem criptografia ou usa algum tipo de firewall e a resposta for sim; ele ficará muito contente e anotará isso numa planilha.

Mas temos que lembrar dos conceitos e princípios da Proteção de Dados, principalmente de questões que envolvem boas práticas, o “Security and Privacy by Design; or by Default”. O que os advogados não conseguem saber é se o Firewall está de fato ligado e está cobrindo todas as necessidades da empresa; bem como se a criptografia, por si só, é capaz de resolver as questões técnicas que envolvem o acesso e compartilhamento de dados.

Aqui no #AssiseMendes, preferimos nos concentrar no que sabemos fazer de melhor e cuidar apenas dos conceitos jurídicos deste novo padrão de governança de dados.

Pode parecer pouco mas nossos trabalhos abrangem apenas:

• Entender o que a empresa faz e como coleta e trata dados pessoais
• Dar a correta caracterização legal de informações, dados pessoais e sensíveis coletados para cada atividade
• Verificar se todos os requisitos da jurídicos já estão em uso e são suficientes, ou se há a necessidade de ajustes na operação e documentação antes da vigência 
• Antecipar questões envolvendo o tratamento de dados Internacionais / Compartilhamento de dados com terceiros
• Fazer comparações e benchmark das necessidades de nossos clientes, com cases de empresas europeias e suas necessidades de adequação perante a GDPR;
• Definições técnicas de, em que momentos, o Cliente agirá como CONTROLADORA ou como OPERADORA de dados pessoais, englobando
• Palestras, treinamentos e workshops de conscientização e implementação dos conceitos de Privacidade e Proteção de Dados Pessoais.

Todos o demais pontos e inclusive o mapeamento dos dados e questões de segurança da informação devem ser feitos por empresas ou soluções especializadas, nunca por somente juristas.

E, claro, indo além, quando já houver uma consciência dos dados, numa segunda fase também apoiamos nossos clientes e parceiros na:

• Adequação de contratos com fornecedores de TI que recebem dados pessoais ou sensíveis das empresas 
• Revisão dos termos de uso e contratos com as cláusulas de consentimento
• Participação e revisão dos Relatórios de Impacto à Proteção de Dados Pessoais, exigidos por lei.
• Revisão e opinião nas questões jurídicas envolvendo Políticas de Segurança da Informação, Comitê de Crise e mapeamento dos riscos jurídicos do negócio.
• Apoiar o Cliente em premissas, bem como definição das funções / perfil e formação de um DPO – Encarregado de Dados Pessoais.

Em nossas conversas internas e reuniões, sempre frisamos que a Proteção de Dados não deve ser vista como um escudo ou barreira entre empresas e o mercado, mas sim como algo relacionado ao carinho e cuidado que temos com as coisas que são importantes para nós!

Lembrem-se que o código-fonte é diferente do Código Civil!

Que venham os novos tempos, mais conscientes e seguros!