Qual a diferença? Scan de Vulnerabilidades versus Pentest

Frequentemente, os scan de vulnerabilidades e os testes de penetração (pentest) são considerados uma única coisa.

Na verdade, podemos considerar que ambos têm o mesmo objetivo, que é conhecer com detalhes as vulnerabilidades que expõem um ecossistema aos riscos cibernéticos. Porém são bem diferentes. Quando as duas técnicas são confundidas, pode resultar em falta de visibilidade, o que compromete a sua estratégia de segurança.

Os scans de vulnerabilidades têm a função de mapear ativos credenciados em sua rede e analisar, em acordo com as políticas de segurança previamente configuradas, quais são as vulnerabilidades existentes. A partir de seus relatórios, o administrador do ambiente tem uma visão mais clara de quais são as fraquezas em seu ambiente, quais os níveis de impacto de cada vulnerabilidade no sistema e quais as prioridades no processo de remediação.

Do ponto de vista de gestão de riscos cibernéticos, é uma ferramenta essencial, pois ajuda o time a ter uma visão mais clara de qual é o status de segurança, para definir um plano de correção ou de mitigação de riscos.

Usado como uma ferramenta administrativa, é fundamental que a empresa que adota este modelo, escaneie o seu ambiente de forma regular e recorrente. Deste modo, o scan permite encontrar qualquer alteração (adição de novos ativos ou mudança em políticas), além de detectar aplicações desatualizadas, protocolos e certificados vencidos etc.

Por outro lado, os testes de penetração ou pentests têm a função de explorar as vulnerabilidades de um sistema. É um trabalho ativo, que visa descobrir novas possibilidades de exploração de sistemas privados. Neste caso, os pentests sempre envolvem um fator humano e, muitas vezes, podem utilizar exploits (sejam públicos ou privados) para exaurir todas as possibilidades.

Vale ressaltar que, os scans de vulnerabilidades podem também ser usados pelas equipes como primeiro passo para realizar os testes de penetração – primeiro mapeiam as brechas possíveis e depois podem executar os testes para identificar formas de explorar o sistema vulnerável.

Tanto o Scan de vulnerabilidades como os testes de penetração são importantes para reduzir riscos e podem ser aplicadas em conjunto. No entanto, para extrair o melhor destas técnicas, é importante entender sua função específica, quais são os objetivos de sua empresa ao adotar estas técnicas e quais resultados podem ser esperados.