Teste de penetração - testadores

Existe a questão de proteger os dados mais críticos da organização; portanto, o papel de um testador de penetração é muito crítico, um pequeno erro pode colocar ambas as partes (testador e seu cliente) em risco.

Portanto, este capítulo discute vários aspectos de um testador de penetração, incluindo sua qualificação, experiência e responsabilidades.

Qualificação de testadores de penetração

Este teste pode ser executado apenas por um testador de penetração qualificado; portanto, a qualificação de um testador de penetração é muito importante.

Tanto um especialista interno qualificado quanto um especialista externo qualificado podem realizar o teste de penetração até que sejam organizacionalmente independentes. Isso significa que o testador de penetração deve ser organizacionalmente independente do gerenciamento dos sistemas de destino. Por exemplo, se uma empresa terceirizada estiver envolvida na instalação, manutenção ou suporte de sistemas de destino, essa parte não poderá realizar o teste de penetração.

Aqui estão algumas diretrizes que irão ajudá-lo ao chamar um testador de penetração.

Certificação

Uma pessoa certificada pode realizar testes de penetração. A certificação realizada pelo testador é a indicação de seus conjuntos de habilidades e competência de um testador de penetração capaz.

A seguir estão os exemplos importantes de certificação de teste de penetração -

  • Hacker ético certificado (CEH).

  • Ofensive Security Certified Professional (OSCP).

  • Certificações de teste de penetração CREST.

  • Certificação do serviço de verificação de integridade de TI do Communication Electronic Security Group (CESG).

  • Certificações Global Information Assurance Certification (GIAC), por exemplo, GIAC Certified Penetration Tester (GPEN), GIAC Web Application Penetration Tester (GWAPT), Advance Penetration Tester (GXPN) e GIAC Exploit Researcher.

Experiência passada

As perguntas a seguir o ajudarão a contratar um testador de penetração eficaz -

  • Quantos anos de experiência o testador de penetração tem?

  • Ele é um testador de penetração independente ou trabalha para uma organização?

  • Com quantas empresas trabalhou como testador de penetração?

  • Ele realizou testes de penetração para alguma organização de tamanho e escopo semelhantes aos seus?

  • Que tipo de experiência o testador de penetração tem? Por exemplo, a realização de testes de penetração na camada de rede, etc.

  • Você também pode pedir a referência de outros clientes para quem trabalhou.

Ao contratar um testador de penetração, é importante avaliar a experiência de teste do ano anterior da organização para a qual ele (testador) trabalhou, pois está relacionada às tecnologias implementadas especificamente por ele no ambiente de destino.

Além do exposto acima, para situações complexas e requisitos típicos do cliente, é recomendado avaliar a capacidade de um testador para lidar com um ambiente semelhante em seu projeto anterior.

Papel de um testador de penetração

Um testador de penetração tem as seguintes funções -

  • Identifique a alocação ineficiente de ferramentas e tecnologia.

  • Testando em sistemas de segurança interna.

  • Identifique as exposições para proteger os dados mais críticos.

  • Descubra um conhecimento inestimável de vulnerabilidades e riscos em toda a infraestrutura.

  • Relatar e priorizar recomendações de remediação para garantir que a equipe de segurança esteja utilizando seu tempo da maneira mais eficaz, protegendo as maiores lacunas de segurança.