Transcrição do áudio
Vou explicar agora as três abordagens que, naturalmente, nós podemos escolher uma delas para o nosso projeto de penteste. Bom, vamos lá. A primeira, a caixa branca. Vamos entender aqui o que a empresa vai te passar, o que você espera conseguir e vamos também dizer o que poderíamos entregar para uma empresa. Vamos supor que o nosso penteste está relacionado ali a um site web, beleza? O testador recebe informações completas sobre a aplicação e todas as suas tecnologias. Com isso, é natural que o seu processo de aplicação, de análise, será muito rápido. E, naturalmente, como eu posso dizer, eu não vou dizer eficiente, mas digamos que você vai encontrar muitas informações. Bom, porque eu não vejo e não posso classificar isso como uma coisa muito eficiente. Imagine que você iria enxergar a solução-alvo como um agente interno malicioso. E aí é que está. Bom, nem todo hacker é um agente interno malicioso. Bom, então quer dizer que você estaria vendo como um agente interno malicioso e não como hacker. Então, talvez, você não enxergue algumas coisas que viriam, ou seja, ataques de fora para dentro da sua organização. Então, você executa esse teste. Você executa esse teste. Você executa esse teste. Você executa esse teste. Esse teste, principalmente, tem agente interno malicioso na sua organização? Tem. Então, você tem que fazer uma caixa branca. Isso é obrigatório. Isso é obrigatório. Mas você perde a capacidade de ver como o hacker enxerga de fora aquele cara que não está aqui dentro. Você recebe credenciais, às vezes, tá? Vou meter um asterisco aí nessas credenciais. Diferentes níveis de acesso para tentar identificar. Vulnerabilidades. É a forma mais rápida. Segundo o livro, é a forma mais completa. O mais completa quer dizer traz mais informações. É isso que ele está falando. Se nós formos olhar mesmo, depois que eu vejo uma caixa branca, depois que eu estou ali com a white box, eu não consigo mais enxergar a aplicação como se fosse um hacker externo. Esse é um problema. Então, é natural que eu não possa fazer o teste de caixa branca e depois fazer o caixa preta. Tem que ser outra pessoa. Não pode ser eu mais. Entende? Isso é importante, hein? Porque nosso cérebro é contaminado pelas informações que nós já vimos e nos foi dado informações privilegiadas. Bom, pergunte para o teu cliente. Ele quer executar duas abordagens? Dá para você executar duas abordagens. Por exemplo, essa abordagem é a mais comum. Porque a galera acredita que o maior inimigo está na internet, o maior inimigo está externo, o maior inimigo não está dentro. Enxerga-se assim. E nós queremos, naturalmente, verificar como esses agentes iriam enxergar meu site. Então, provavelmente, eles iriam de fora da rede e começar a buscar informações. Sobre mim, sobre meus produtos, sobre meu pessoal, de fora. Ele nem sabe, na verdade, eles nem sabem o meu corpo de funcionários, os produtos que temos e tudo mais. Mas é muito útil porque, e eles estão certos, que classifica-se que o maior volume de ataque vem de fora, não vem de dentro. E essa forma específica de teste é eficiente para determinar o que o hacker real, o hacker de fora, descobrirá. Lembre-se, agente interno malicioso tem um poder destrutivo maior que um agente externo. Vai por mim. Experiência, cara. Porque ele tem informação privilegiada, meu amigo. Ele sabe aonde está cada servidor, ele sabe quem manipula cada servidor, ele sabe que se conseguir comprometer uma pessoa, ele sabe qual é o ponto do sistema, ele sabe quais bancos de dados tem quais informações, dados sensíveis são melhores para extorsão. Então, talvez seja interessante nem fazer um grey box, tá? Seja interessante fazer um black box, uma caixa preta, olhar como o hacker enxerga um projeto, termina, entrega, tudo mais. Próximo projeto. White box. Uma caixa branca ali. Que agora, como que os funcionários enxergam? Agora, você pensa, né? Lembra que você tem que modelar as ameaças? Você tem que modelar as ameaças. Então, você primeiro modela, então, o primeiro serviço, uma ameaça externa, depois você executa como uma ameaça interna. Poderia ser. É um outro trabalho, é um outro projeto. Fica muito melhor assim. Bom, se eu trabalho na empresa há anos, que é aqui que eu vou fazer o pen test, né? Pô, se agora, cara, você não vai conseguir fazer isso. Você jamais vai conseguir fazer isso, porque seu cérebro está contaminado. É muito difícil você fazer um hard reset no seu cérebro e voltar a um ano atrás. Não tem como. Dois anos atrás. Não tem como. Não tem aquela frase que você se fala, pô, eu preferia não ter visto isso. De repente, você olha para o lado, viu uma coisa que não deveria ver, e você pensa, não deveria ter visto isso, né? Não tem como você apagar mais, meu amigo. Waybox. Esse aqui, eu não gosto muito. Mas tem gente que faz. Utilizado para fornecer um cenário de teste realista, ao mesmo tempo que oferece aos testadores informações suficientes para reduzir o tempo. Para reduzir o tempo de trabalho. Olha só. Muito rápido produzir alguma coisa aqui. Muito lento produzir uma coisa aqui. Só que aqui, você acaba tendo informações privilegiadas, né? Você consegue, naturalmente, alcançar o máximo possível de funções, APIs, serviços numa rede, por exemplo. Aqui pode ser que você, inclusive... Não falei para vocês. Aqui pode ser que você não encontre alguma coisa. Por exemplo, fui fazer um pen test, caixa preta, para uma empresa. Eu não achei um site deles. Eu não consegui linkar um site deles. Então ficou parecendo que ficou incompleto para a empresa. Mas não ficou incompleto. É que na visão do hacker, não tinha ligação da empresa com aquele produto, cara. Entende? Isso pode acontecer na caixa preta. Que não aconteceria na caixa branca. E aqui eles fazem o seguinte. Então, vamos fazer um meio termo? Vamos tentar fazer um meio termo? Só que eu não gosto do meio termo, porque, poxa, cara. Você perde como o cara do mal externo te vê. E você perde como o cara do mal dentro de você te vê. Eu penso assim. É o meu pensamento. É o meu pensamento. Outra coisa interessante também. Que você tem que ter na sua mente. É que aqui, quando você cria o escopo, o documento de escopo. Aqui é o R-Bot. Você vai colocar o escopo antes da modelagem. Onde você vai obter essas informações aqui. Quando você vai conseguir os dados para você gerar um documento. São dois documentos. Não é de confidencialidade. E o outro é o escopo da análise. Não é? O que vai acontecer? Você vai... Aqui, olha. Um que é... Não, não é aqui não. É lá de cima. Olha o mal, galera. Estou trabalhando há tantos dias, cara. Então, o primeiro aqui é confidencialidade. O segundo seria o escopo. Certo? Então, o que acontece? Quando você está em caixa preta, o escopo é pequeno. O escopo é pequeno, cara. Quando você está em caixa preta, o escopo é pequenininho. É difícil até a empresa te dar um ambiente para testar. Sério. Mas quando você está em caixa branca, o escopo é maior. E a empresa tem mais recurso para te dar. Como assim? Ele pode aqui te dar um ambiente para você testar. Tudo prontinho. Tem um clone e tudo mais. Você vai ter que definir tudo isso. Muita coisa. Então, o cara que sai de um escopo bem grande aqui. Aqui o cara sai com o escopo mínimo. Empresa, talvez alguns produtos. Se vai ser web, se vai ser de rede. O que vai ser? Se for web, é API, tela. Então, vai sair com o mínimo possível aqui. E o cara vai ter que achar isso. Então, ele achar um ambiente de teste e homologação. É complicado. Geralmente aqui ele acaba caindo em produção. Ele acaba fazendo sua operação em produção. Aqui já teria um ambiente melhor. Tem gente que acha que é apenas um termo idiota. Não, cara. Veja o tanto de informação. Legal? Próximo vídeo eu vou falar de tipos. Vamos entender cenários. E nós vamos fazer naturalmente a nossa ação. Até mais. Tchau. Tchau.
