O documento fornece informações sobre como iniciar uma carreira em pentest, incluindo a necessidade de certificações, os tipos de pentest, e dicas para aprimorar habilidades praticando em laboratórios e lendo livros sobre o assunto.

1. COMO COMEÇAR NA ÁREA DE
PENTEST?
Security Day

4. DEFICIT
FONTE: https://cybersecurityventures.com/jobs/

5. DEFICIT
FONTE: https://www.cyberseek.org/heatmap.html

6. O QUE É PENTEST?
• PenTest (Penetration Testing) ou Teste de
invasãotem como objetivo, simular um
ataque cibernético na infraestrutura de
uma organização, seja uma infraestrutura
de rede, aplicação, sistemas e até mesmo
usuários finais;
• Sendo uma maneira de determinar se os
controles de segurança foram bem
implementados, as politicas de segurança
estão de acordo e se as tecnologias estão
seguras ou vulneráveis;

7. TIPOS DE PENTEST
BLACK BOX WHITE BOX GRAY BOX

8. TIPOS DE PENTEST
Black Box: O profissional não possui conhecimentos do ambiente, assim será necessário
procurar a melhor forma de comprometer um ambiente;
• Os testes são classificados em dois tipos:
• Blind Testing: Este teste verifica se um criminoso pode lançar um ataque com
informações severamente limitadas, geralmente os pentesters só recebem o
nome da empresa;
• Double-Blind Testing: Nesse método, apenas um ou dois funcionários da
organização têm conhecimento da realização do teste. Assim o Double-Blind
Testing verifica a eficácia do monitoramento de segurança da organização,
identificação de incidentes e o processos de resposta;
• White Box: Você já possui conhecimentos de toda à infraestrutura da organização, o
seu objetivo é apenas testar as vulnerabilidades e descobrir potências brechas
também;
• Gray Box: Já combina as duas analise, você vai ter algumas informações essenciais
para atuar, geralmente esses acessos consistem só o acesso a rede e assim realizar os
testes;

9. PROCESSO DE UM PENTEST

10. PROCESSO DE UM PENTEST
• Determinar o escopo dos testes;
• Coletar informações do alvo tanto passivamente como ativamente;
• Planejar os métodos para coletar e analisar as informações obtidas de
maneira passiva ou ativa;
• Detectar potências brechas de segurança, seja enumerando informações,
coletando detalhes de portas, versõese serviço do alvo;
• Realizar os testes efetuando a exploração e a pós exploração;
• Analisar os resultados e gerar um relatório;
• Testar a efetividade das remediações;

11. QUAL É A NECESSIDADE DE UM PENTEST?
• Identificaras ameaçase determinara
probabilidadeda sua organizaçãosofrer um
ataque;
• O Pentest vai prover o nível de maturidadee
aceitaçãode risco da sua organização;
• Entender os principaisvetores de ataque e
seu impacto no negócio;
• Auxiliarno passo a passo na prevençãode
vulnerabilidades;
• Compliancecom regulamentaçõese padrões
(ISO 27001, PCI-DSS, LGPD, etc);
• Avaliara eficiênciade dispositivosde
segurança da sua rede (Firewalls, IDS, IPS,
etc.);

12. ANALISE DE VULNERABILIDADE VS PENTEST
• Quando a gente fala de PenTest e Analise de
vulnerabilidade,ambossão tarefas
diferentes;
• Enquantoa analise e avaliaçãode
vulnerabilidadetem como objetivolevantar
todos os riscos, ameaçase vulnerabilidades
da sua organização eauxiliarno
gerenciamentodos mesmos;
• O PenTest ele tem com o objetivo,explorar
as vulnerabilidadesdo ambientee
determinaro grau de risco e impacto que
um invasãopode causar em uma
organização;

13. INICIANDO SUA CARREIRA EM PENTEST

14. • As certificações são essências, seja para o mercado de
trabalho, como para desenvolver suas habilidades também;
• Hoje elas são consideradas pré-requisitospara atuar na área
de segurança da informação, principalmente com PenTest;
• Muitas empresas exigem profissionais certificados, muitos
desses fatores envolve não só conhecimento, mas compliance
com alguns pré-requisitosexigidos em Frameworks e diretrizes
de segurança;
CERTIFICAÇÕES

15. MERCADO DE TRABALHO PARA PENTESTERS
• Existe uma boa demanda por profissionais de PenTest, porém muitos
se enquadram na nomenclatura Red Team, aonde você vai além dos
testes de invasão, mas foca em gerenciar todo tipo de vulnerabilidade
e auxiliar o time de defesa (blue team) na validação e implementação
dos melhores controles;
• Atualmente as vagas de PenTest requer que o profissional tenha
conhecimentos em Gestão de Vulnerabilidades, Riscos e
conhecimentos de Blue Team;
• Além disso, o relatório é essencial! Tanto relatórios técnicos como
gerenciais;

16. LABORATÓRIOS DE PENTEST
• Os laboratórios de PenTest são essências para desenvolver suas
habilidades e adquirir mais conhecimento;
• E atualmente existem três ótimos laboratórios no estilo CTF (Capture the
Flag) para aprimorar suas habilidades;
https://www.vulnhub.com/entry/bizarre-adventure-mrr3b0t,561

17. LIVROS

18. CONCLUSÃO: DICAS E TRUQUES
Sempre fique por dentro de novos
métodos de ataque;
Pratique bastanteem laboratórios
e CTFs;
Assistapalestras, webinars e dê
uma olhada nos conteúdos de
outros profissionais;
Interaja com a comunidade e troque
conhecimento;
Junte a teoria com a prática;
Pense sempre fora da caixa, seja um
Try Harder;
Desenvolvasuas próprias
ferramentas e seus laboratórios;
Se aprofunde em frameworks e
metodologias de Segurança
Ofensiva, Ex: Mitre Attack;

19. DÚVIDAS?
https://www.linkedin.com/in/joas-antonio-dos-santos/
joasantonio108@gmail.com