O documento discute os desafios e o ciclo de vida de um pentest (teste de penetração), incluindo a contratação, resultados, compartilhamento com equipes relevantes, acompanhamento de correções e justificativa de investimento. Também aborda a metodologia TDI, abordagens, entregáveis, custos, gestão de vulnerabilidades e como medir o retorno sobre o investimento em segurança cibernética.

1. Chefe,
o
pentest acabou!
Leonardo
C.
Militelli – CEO
e
Fundador
iBLISS Segurança &
Inteligência
... E agora?!

2. ibliss.com.br

3. Os
desafios
do
Pentest:
da
contratação ao ROI
Leonardo
C.
Militelli – CEO
e
Fundador
iBLISS Segurança &
Inteligência

5. Ciclo de vida do PenTest
1)Contratação
2)Resultados
3)Compartilhamento com áreas envolvidas
4)Acompanhamento da correção
5)Justificativa do investimento

6. Profundidade
Metodologia TDI
§ Levantamento de informações
§ Análise de vulnerabilidades
§ Exploração
§ Elevação de privilégios
§ Obtenção de dados e manter acesso
§ Relatório

7. Abordagem
Visão do
atacante
Visão do
admin
de
rede
Duração fase
de coleta de
informações
Maior
Menor
Duração fase de exploração
Superfície
de ataque
Maior
Menor

8. Contexto

9. Entregáveis e resultados

10. Entregas e resultados
§ Relatório técnico
§ Relatório executivo
§ Plano de ação
§ Reteste
§ Suporte à correção
§ Plataforma de gestão

11. Custo do pentest
Pentest
Escopo x Profundidade x Abordagem x
Entregáveis
Pentest-­NG
Escopo x Profundidade x Abordagem x
Contexto x Entregáveis

12. Gestão de vulnerabilidades

13. Gestão contínua

14. ROI
• Alta
criticidade
• 5
vulnerabilidades
críticas
• Indisponibilidade
custa
R$50.000/hora
Processo A
• Alta
criticidade
• 10
vulnerabilidades
críticas
• Indisponibilidade
custa
R$30.000/hora
Processo
B
• Baixa
criticidade
• 2
vulnerabilidades
críticas
• Indisponibilidade não causa perdas
Processo
C

15. Gestão de risco contextual

16. Heatmap

17. Pesquisa

18. Frequência de testes

19. Gestão de Vulnerabilidade

20. Correção

23. BONUS:
Quadrante
mágico
Gartner

24. Fato
O quadrante mágico possui 4 quadrados!!!

25. Quadrante mágico Gartner
Application Security

26. Quadrante WAF 14-15

27. A iBLISS
§ Especializada em soluções para
segurança e risco tecnológico
§ P&D de soluções
§ Experiência comprovada
§ +10 clientes das “100 mais” da Exame
§ +50k ativos/mês gerenciados
§ +10 anos em projetos de SI