Questão de Segurança da Informação — Testes de Segurança (Pentest, Varreduras, etc.) — CESPE / CEBRASPE 2023

Testes de Penetração: Tipos de Teste e Escopo

❌ ERRADO. A afirmação está incorreta porque o tipo de teste que se escolhe quando o objetivo é testar um novo tipo de ataque ou focar em um host específico é o teste direcionado (ou targeted test), e não o "teste de conhecimento". O "teste de conhecimento" (ou knowledge test) refere-se ao nível de informação prévia que o testador possui sobre o ambiente, como no white box, black box ou gray box — não é um critério de seleção baseado no objetivo do teste.

O teste de penetração (pentest) é uma atividade de segurança ofensiva que simula ataques reais de forma controlada, com autorização formal e escopo definido. A classificação dos pentests pode ocorrer por diversos critérios, e é exatamente aí que mora a confusão explorada pela banca. Vamos entender cada um deles para nunca mais cair nessa pegadinha.

Primeiro, temos a classificação quanto ao nível de conhecimento que o testador tem sobre o ambiente. Essa é a classificação que envolve os termos black box, white box e gray box:

• Black Box: o analista não recebe nenhuma informação prévia sobre a rede ou sistema, começando do zero, como um atacante externo. É o mais realista do ponto de vista de um ataque externo.

• White Box: o analista recebe todas as informações sobre o ambiente, como código-fonte, credenciais e diagramas de rede. É o mais abrangente tecnicamente, permitindo uma avaliação profunda.

• Gray Box: um meio-termo, onde algumas informações são fornecidas, como credenciais de um usuário comum. Equilibra realismo e eficiência.

Já a classificação quanto ao objetivo ou escopo do teste é outra coisa completamente diferente. É aqui que entram os testes direcionados, os testes de aplicações web, os testes de rede, etc. O teste direcionado (targeted test) é aquele em que a equipe foca em um alvo específico, como um host, um servidor ou um tipo de ataque novo. É uma escolha baseada no que se quer avaliar, não no nível de conhecimento do testador.

A banca, ao afirmar que "um teste de conhecimento pode ser escolhido se o objetivo for testar um novo tipo de ataque ou focar em um host específico", mistura os dois critérios de classificação. O "teste de conhecimento" é uma categoria que descreve o quanto o testador sabe do ambiente, enquanto a decisão de testar um novo ataque ou focar em um host específico é uma decisão de escopo e objetivo, que leva à escolha de um teste direcionado.

Para fixar, veja a comparação:

A pegadinha da questão é exatamente essa: trocar o critério de classificação. O candidato que conhece os tipos de pentest, mas não distingue os critérios, pode acabar marcando "certo" por associar "teste de conhecimento" a algo que parece fazer sentido. Mas a lógica é clara: o objetivo do teste (testar novo ataque, focar em host) determina o tipo de teste (direcionado, externo, interno, etc.), não o nível de conhecimento do testador.

Alternativa E — ❌ Incorreta (Gabarito)

A afirmação está errada porque o "teste de conhecimento" não é escolhido com base no objetivo de testar um novo ataque ou focar em um host. O "teste de conhecimento" refere-se ao nível de informação prévia do testador (black box, white box, gray box). Quando o objetivo é testar um novo tipo de ataque ou focar em um host específico, o tipo de teste escolhido é o teste direcionado (targeted test), que é definido pelo escopo e objetivo da avaliação, não pelo conhecimento do testador.

Gabarito: letra E (ERRADO).