-
Não encontrei erros na questão. O scanner de portas busca identificar se há portas abertas em dispositivo de rede. Se considerarmos que portas abertas são vulnerabilidades (e realmente são), a questão continua correta.
-
O termo PenTest é derivado de Penetration Test, em português a melhor tradução seria Testes de Intrusão ou de Invasão.
O PenTest é um conjunto de técnicas e ferramentas utilizadas para identificar falhas de segurança em sistemas e redes corporativas. Através dessas técnicas, o profissional Pentester irá identificar as vulnerabilidades existentes na arquitetura da empresa, explorá-las e entregar um relatório à empresa, que deverá então tomar as devidas ações para corrigir as falhas de segurança.
Apesar de ser uma simulação de um ataque hacker, é importante mencionar que o PenTest é uma atividade profissional e sobretudo ética. Uma empresa contrata esses serviços para ter seus sistemas analisados por uma empresa ou profissional qualificado.
Um Pentest não é apenas um scaneamento de portas e vulnerabilidades, ele vai além disso. O Pentest faz uso de softwares e ferramentas (pentest tools) para explorar as vulnerabilidades identificadas, buscando identificar que tipo de informação pode ser obtida através daquela falha.
fonte: http://profissaohacker.com/pentest/
GAB ERRADO.
-
O que me causou estranheza na questão é que questão incompleta, o CESPE não considerava errada! Também não vi erro :/
-
Assertiva: A ferramenta básica de pentest, conhecida como varredor de portas e serviços, tem por objetivo encontrar, de maneira automatizada, o maior número possível de vulnerabilidades em um ativo, enviando requisições e analisando as respostas obtidas, em busca de evidências de que determinada vulnerabilidade esteja presente.
Pode ser classificado como método de auditoria de segurança que o administrador de redes, analista de teste/tester ou até mesmo os pentester, que são profissionais especializados em realizar teste de intrusão, simulam ataques com o intuito de mensurar o impacto da varredura caso seja bem sucedido e seja descoberto falhas ou bug.
Obs. acredito que o erro esteja aí.
Bons estudos!
-
Aguardando a correção de um dos professores do QC....
-
GABARITO: ERRADO.
-
Encontrar portas abertas não sugere que se tenha uma vulnerabilidade, muitos serviços rodam em portas determinadas e podem ser trocadas por seus administradores, fato que se uma porta esta aberta não significa "que determinada vulnerabilidade esteja presente".
-
Pior que pedir comentário é sentar e esperar...já foi o tempo que o Qconcurso investia em professores comentando, agora temos que rezar que apareça uma boa alma pra resolver, e rezar mais ainda pra ela estar certa
#voltafernandonishimura
-
Pior que pedir comentário é sentar e esperar...já foi o tempo que o Qconcurso investia em professores comentando, agora temos que rezar que apareça uma boa alma pra resolver, e rezar mais ainda pra ela estar certa
#voltafernandonishimura
-
Errando e errando...
-
O teste de intrusão (do inglês "Penetration Test" ou pentest"), também traduzido como "teste de penetração", é um método que avalia a segurança de um sistema de ou de uma , simulando um ataque de uma fonte maliciosa. O processo envolve uma análise nas atividades do sistema, que envolvem a busca de alguma vulnerabilidade em potencial que possa ser resultado de uma má configuração do sistema, falhas em / desconhecidas, deficiência no ou técnicas contramedidas. Todas as análises submetidas pelos testes escolhidos são apresentadas no sistema, junto com uma avaliação do seu impacto e muitas vezes com uma proposta de resolução ou de uma solução técnica.
-
Agregando...
Um ataque pode ser dividido em algumas etapas:
1. Identificação e conhecimento do ambiente;
2. Identificação de vulnerabilidade;
3. Análise da melhor estratégia;
4. Aplicação do ataque;
Esse mesmo roteiro é usado também como mecanismo de defesa. Para saber se defender, é preciso saber como os ataques ocorrem. Então por muitas vezes, profissionais de segurança e de auditoria são contratados para fazerem análises nos ambientes e tentar explorá-los.
Surgem então os "pentesters" ou testes de penetração.
Um atacante pode realizar os ataques com base em algumas premissas. Chamamos de tipo de conhecimento adquirido. Isso porque um atacante pode ser alguém totalmente externo à corporação, pode ser alguém de dentro da corporação, ou ainda algum parceiro que possui informações parciais.
1. Blackbox;
2. Whitebox;
3. Greybox;
Blackbox – é o teste da caixa preta. Não se tem nenhum tipo de informação da rede ou do ambiente da organização. Então o teste de exploração deve cumprir todas as etapas acima (do ataque). Começando pela identificação e exploração do ambiente para fins de adquirir conhecimento. Nesse tipo de teste, as principais portas de entrada são os ataques de engenharia social e phishing. Faz parte do escopo do princípio da obscuridade.
Whitebox – Fornece-se ao pentester todas as informações básicas necessárias de conhecimento da rede, pulando, portanto, a etapa de identificação. Esse tipo de ataque busca verificar a robustez de configurações dos equipamentos e a inexistência de exploits conhecidos para as soluções.
Greybox – É um modelo intermediário. Fornece-se algumas informações básicas que são facilmente descobertas e não fazem parte do escopo do princípio da obscuridade.
FONTE: Prof Andre Castro
____________________________________
Acredito que a assertiva limitou o mecanismo de ação do pentesters e utilizou a palavra automaticamente de forma incorreta, como disse Rogério Barreto Nascimento no comentário acima.
Bons estudos!
-
QUESTÃO: A ferramenta básica de pentest, conhecida como varredor de portas e serviços, tem por objetivo encontrar, de maneira automatizada, o maior número possível de vulnerabilidades em um ativo, enviando requisições e analisando as respostas obtidas, em busca de evidências de que determinada vulnerabilidade esteja presente.
GABA: ERRADO
Acredito que o erro possa estar na parte em vermelho, pois Pentest é conhecido como "teste de intrusão" ou "teste de penetração". Vejamos:
O teste de intrusão (do inglês "Penetration Test" ou pentest"), também traduzido como "teste de penetração", é um método que avalia a segurança de um sistema de ou de uma , simulando um ataque de uma fonte maliciosa. O processo envolve uma análise nas atividades do sistema, que envolvem a busca de alguma vulnerabilidade em potencial que possa ser resultado de uma má configuração do sistema, falhas em / desconhecidas, deficiência no ou técnicas contramedidas. Todas as análises submetidas pelos testes escolhidos são apresentadas no sistema, junto com uma avaliação do seu impacto e muitas vezes com uma proposta de resolução ou de uma solução técnica.
-
Acredito que o erro esta em reduzir a funcionalidade para varredor de portas e serviços, bem como um sistema automatizado (que até pode ser, mas depende da ferramenta para tentar invadir a rede e máquinas testadas).
-
Fica complicado errar uma questão e não saber por que ela está errada. Onde estão os professores com uma explicação concreta e confiável? Os comentários ajudam demais, porém em questões como esta, ficam muitas lacunas.
Acredito que o erro esteja em dizer que se trata de uma ferramenta básica e, limitar suas funções.
Um Pentest não é apenas um scaneamento de portas e vulnerabilidades, ele vai além disso. O Pentest faz uso de softwares e ferramentas (pentest tools) para explorar as vulnerabilidades identificadas, buscando identificar que tipo de informação pode ser obtida através daquela falha.
-
Pentest é teste de de penetração, varredura de portas e serviços é feito por um port scanner (como o NMap)
-
"A ferramenta básica de pentest, conhecida como varredor de portas e serviços, tem por objetivo encontrar, de maneira automatizada, o maior número possível de vulnerabilidades em um ativo, enviando requisições e analisando as respostas obtidas, em busca de evidências de que determinada vulnerabilidade esteja presente."
Fase de Reconhecimento: Nessa fase a equipe de Pen Testers realiza o levantamento do máximo de informações possíveis sobre a empresa analisada. Dados como os serviços prestados, os principais gerentes e diretores, localização física, existência de filias e etc.
Fase de Varredura: Nesse momento é realizado uma varredura do que está presente na rede. Por exemplo, o range de IPs que é utilizado, quais os servidores existentes, os sitemas operacionais utilizados, as portas abertas e etc.
Fase de Obtenção de Acesso e Exploração: Com base no que foi identificado na fase de varredura, o pentest fará a exploração de cada ítem, efetivamente em busca das vulnerabilidades existentes. Com o uso de técnicas de exploit e brute force tentará identificar quais serviços estão vulneráveis e que tipo de informação, falhas ou controles podem ser obtidos através daquele serviço.
Fase de Obtenção de Evidências e Reporte: As evidências de todas as falhas e vulnerabilidades identificadas são coletada pela equipe. Com base nessas informações, é gerado um relatório completo indicando os pontos vulneráveis de todos os elementos da empresa, falhas na rede, em software mal configurados e desatualizados, falta de elementos de segurança e etc, indicando inclusive que prejuízos podem ser causados à empresa em cada uma das falhas.
-
O teste de intrusão, também traduzido como "teste de penetração", é um método que avalia a segurança de um sistema de computador ou de uma rede, simulando um ataque de uma fonte maliciosa
-
Acredito que o erro seja pelo fato de os testes "Pentest" também são realizados manualmente, mas normalmente são apoiados por ferramentas automáticas.
-
Também traduzido como "teste de penetração", é um método que avalia a segurança de um sistema de computador ou de uma rede, simulando um ataque de uma fonte maliciosa.
-
Pênistest é a abreviação de Penetration Test (Teste de Penetração)
Onde hackers éticos, visa encontrar potenciais vulnerabilidades em um sistema, servidor ou, de forma geral, em uma estrutura de rede. Mas, mais do que isso, o Pentest usa ferramentas específicas para realizar a intrusão que mostram quais informações ou dados corporativos podem ser roubados por meio da ação.
Agora não esquece mais.
-
Pentest não é um antimalware, é um teste de Intrusão, que faz a detecção minuciosa com técnicas utilizadas por hackers éticos.
-
QUESTÃO: A ferramenta básica de pentest, conhecida como varredor de portas e serviços, tem por objetivo encontrar, de maneira automatizada [OU MANUAL], o maior número possível de vulnerabilidades em um ativo, enviando requisições e analisando as respostas obtidas, em busca de evidências de que determinada vulnerabilidade esteja presente. Acredito que o erro está em dizer que só é possível proceder de forma automatizada, uma vez que há várias formas diferentes de verificar as vulnerabilidades pelos pentesters, conforme questão CESPE abaixo da PC/ES.
OUTRAS QUESTÕES CESPE SOBRE PENTEST:
PC/ES - PERITO CRIMINAL - CESPE - 2011 - O PEN TEST (Penetration Test), processo que permite identificar vulnerabilidades para a organização, dispõe de recursos para o emprego dos mais diversificados métodos que um atacante pode utilizar, como ataques lógicos, físicos e engenharia social. [CERTA]
MINISTÉRIO DA ECONOMIA - TI - CESPE - 2020 - Antes de iniciar o teste de invasão, deve-se ter um contrato assinado entre as partes envolvidas, para definir o escopo da atividade, os tipos de testes a serem realizados e a autorização para sua execução. [CERTA]
ABIN - OFICIAL DE INTELIGÊNCIA - ÁREA 4 - CESPE - 2018 - Na análise de vulnerabilidades, uma das fases da execução do teste de penetração de acordo com o PTES (Penetration Testing Execution Standard), a varredura de porta é uma técnica que ajuda a obter uma visão geral básica do que pode estar disponível na rede de destino ou no host; na exploração, outra fase da execução de tal teste, o fuzzing visa recriar um protocolo ou aplicativo e enviar dados no aplicativo com o intuito de identificar uma vulnerabilidade. [CERTA]
MINISTÉRIO DA ECONOMIA - TI - CESPE - 2020 - As técnicas de footprint são fundamentais em um processo de pen-test, para identificação de informações, tanto em black box, quando a execução é feita sem conhecimento da estrutura, quanto em white box, quando a execução é feita com algum conhecimento da estrutura. [CERTA]
ABIN - OFICIAL DE INTELIGÊNCIA - ÁREA 4 - CESPE - 2018 - Devido ao baixo custo, o fuzzing é bastante utilizado pelas empresas de segurança e hackers, para testar aplicações web e listar suas vulnerabilidades. A esse respeito, julgue o item a seguir. Na técnica conhecida como fuzzy white-box, a equipe de teste possui acesso ao código fonte da aplicação no servidor local e consegue executar os testes fuzzing por meio de algoritmos com casos de teste gerando resultado mais rápido e preciso para o gestor. [CERTA]
MINISTÉRIO DA ECONOMIA - TI - CESPE - 2020 - Apesar de a criptografia moderna estar presente no cotidiano dos usuários, a implantação de mecanismos criptográficos requer diversos cuidados, como a utilização de algoritmos e protocolos conhecidos e extensivamente analisados e o uso de primitivas criptográficas adequadas para cada situação. [CERTA]
-
A questao fala de analise de vulnerabilidades, e não de pentest.
[1]
E muito comum o erro de achar que o teste de seguranca denominado "anälise de vulnerabilidade" é a mesma coisa que realizar um "pentest". É necessärio enfatizar que o teste de seguranca de "anälise de vulnerabilidade" é o procedimento de identificar potenciais vulnerabilidades, normalmente executando scanners que customizam o processo.
Todavia, o processo de um pentest é uma forma mais objetiva, que vai utilizar o teste de seguranca de 'Analise de vulnerabilidade" como recurso.
Fonte:
[1] Exploração de Vulnerabilidades em Redes TCP/IP - 3ª Edição Revisada e Ampliada, Sandro Melo
-
Questão difícil de encontrar o erro.
Mas acredito que é errado por mencionar o seguinte trecho "analisando as respostas obtidas". o Pentest não analisa os dados obtidos e sim entrega ao setor de TI responsável que tomará as ações com base nessas informações obtidas.
Apesar de ser uma simulação de um ataque hacker, é importante mencionar que o PenTest é uma atividade profissional e sobretudo ética. Uma empresa contrata esses serviços para ter seus sistemas analisados por uma empresa ou profissional qualificado.
O profissional especialista nos processos e atividades de um Penetration Test é denominado PenTester. Ele é também chamado de Auditor Pentest ou até Ethical Hacker (hacker ético).
O pen tester é um profissional que possui um elevado conhecimento em sistemas operacionais e redes de computadores e baseado nisso se utiliza de técnicas, ferramentas e softwares para realizar as suas análises.
fonte: http://profissaohacker.com/pentest/
-
Pentest não busca de maneira automática (não se trata de um antivírus já incluso no sistema operacional). é um serviço profissional fornecido por empresa qualificada. é assinado um contrato pago um valor.
-
resumindo: questão errada, por que? não sei, e pelo visto ninguém!
-
✅Gabarito(Errado)
Vamos lá...
Sendo o mais breve possível mediante a tanta informação dúbia.
Primeiro devemos saber que Análise de vulnerabilidade e Pentest apesar de semelhantes tem suas diferenças pontuais.
1 - O objetivo de encontrar o maior número de vulnerabilidades é da "Análise de Vulnerabilidade" e não do Pentest.
2 - Com o Pentest, quem analisa as respostas obtidas, em busca de evidências de que determinada vulnerabilidade esteja presente não é a ferramenta, e sim uma equipe de profissionais (Pentest não lida a fundo com IA para isso).
Algumas fontes para mais conhecimento:
https://blog.hostone.com.br/penteste/
https://www.alleasy.com.br/2018/04/03/analise-de-vulnerabilidades-x-pentest/
-
Está errado porque diz que os testes são executados automaticamente.
Ao contrário, eles são executados manualmente pelos profissionais chamados de "pentesters" ou analistas de teste.
Esse profissional fica encarregado de realizar as tentativas de falhas e descobrir as vulnerabilidades do sistema. Atuam como verdadeiros "hackers", porém a serviço da empresa contratante e de maneira legal.
-
conceito da questão é sobre o ferramentes do siem
-
Pentest é um método utilizado para verificar a segurança de um ambiente, plataforma ou sistema, por meio da simulação de ataques reais explorando as vulnerabilidades encontradas.
O ITEM ESTÁ ERRADO primeiro, porque "varredor de portas e serviços" é uma das ferramentas básicas para a realização de testes de invasão, mas não é a ferramenta básica do pentest.
OUTRO ERRO é que a descrição "tem por objetivo encontrar, de maneira automatizada, o maior número possível de vulnerabilidades em um ativo, enviando requisições e analisando as respostas obtidas, em busca de evidências de que determinada vulnerabilidade esteja presente" não se refere a varredores de portas e serviços, mas sim a varredores de vulnerabilidades.
Um varredor de portas e serviços é um software que analisa uma ou mais máquinas e q identifica as portas abertas e os serviços específicos que estão sendo executados em cada uma delas. Opcionalmente, pode também detectar o tipo e a versão do sistema operacional utilizado.
-
O PenTest é um conjunto de técnicas e ferramentas utilizadas para identificar falhas de segurança em sistemas e redes corporativas. Através dessas técnicas, o profissional Pentester irá identificar as vulnerabilidades existentes na arquitetura da empresa, explorá-las e entregar um relatório à empresa, que deverá então tomar as devidas ações para corrigir as falhas de segurança.
O profissional especialista nos processos e atividades de um Penetration Test é denominado PenTester. Ele é também chamado de Auditor Pentest ou até Ethical Hacker (hacker ético).
Fonte: http://profissaohacker.com/pentest/
-
Pentest é um método utilizado para verificar a segurança de um ambiente, plataforma ou sistema, por meio da simulação de ataques reais explorando as vulnerabilidades encontradas.
O ITEM ESTÁ ERRADO primeiro, porque "varredor de portas e serviços" é uma das ferramentas básicas para a realização de testes de invasão, mas não é a ferramenta básica do pentest.
OUTRO ERRO é que a descrição "tem por objetivo encontrar, de maneira automatizada, o maior número possível de vulnerabilidades em um ativo, enviando requisições e analisando as respostas obtidas, em busca de evidências de que determinada vulnerabilidade esteja presente" não se refere a varredores de portas e serviços, mas sim a varredores de vulnerabilidades.
Um varredor de portas e serviços é um software que analisa uma ou mais máquinas e q identifica as portas abertas e os serviços específicos que estão sendo executados em cada uma delas. Opcionalmente, pode também detectar o tipo e a versão do sistema operacional utilizado.
Fonte: tecconcursos
-
A ferramenta básica de pentest, conhecida como varredor de portas e serviços... acredito que esteja falando de portscan e não de pentest.