E, mesmo com o teste sendo corretamente vendido há uma chance enorme dos resultados serem mal interpretados (não apenas por quem contratou mas pelos outros executivos). É a velha história do “aqueles caras que a gente contratou não conseguiram entrar, a gente não precisa fazer mais nada”.

Se não for testar com trojan, pelo menos um teste interno deve ser feito junto!

sim este tipo de teste pode ser usado, mas nunca vai ser um pen-test IMHO.

Quanto ao pen-test passar uma falsa sensação de segurança eu discordo, pois ele nunca é vendido como se fosse a máxima de testes de controles (pelo menos não deveria ser vendido assim). Um pen-test na maioria das vezes vai testar os controles de perímetro e pode se estender a testes como mencionados por você e pelo Cima, mas não vai substituir uma análise de vulnerabilidade completa em todos os controles.

O ponto que quero destacar é, estas empresas que usam desta técnica estão fazendo FUD e usando os arquivos maliciosos para ganhar acesso e não como teste de patch management e conscientização.

Abs.

Mas o Cima está correto, a abordagem testa controles sim. Desde o patch management para esses produtos até a capacidade de detecção e proteção contra atacantes “pseudo-internos”. Sem dúvida tem o seu valor.

Dito isso, é importante que a empresa seja clara com o cliente sobre o que está testando. Usar uma abordagem que funciona contra 9 em 10 organizações e chegar no cara e dizer “sua segurança é uma piada” não é completamente honesto. Uma abordagem mais adequada seria fazer os dois tipos de teste, pelo perímetro e pela “engenharia trojan-social”, e mostrar os resultados de forma balanceada. Afinal de contas, o resultado de um pentest que só testa o perímetro pode dar ao cliente a falsa sensação de segurança, já que ele pode imaginar que todos os pontos de entrada foram testados.

sim você está testando um controle. Agora todos os outros que um pen-test pode testar?

Uma coisa é uma coisa, outra coisa é outra coisa…rs…

abraços!