Com mais de 12 anos de experiência em Segurança da Informação, Anderson Tamborim é especialista em segurança da NexLayer Information Security Solutions, além de ter experiência em Pentester e Social Engineer. Tamborim, que já participou de outras edições da Latinoware, falará este ano sobre engenharia social, definições técnicas, princípios psicológicos e cognitivos. Confira a entrevista:

 

O que significa ser um Pentester?

Pentester ou Penetration Tester é o termo designado para definir um profissional da área de segurança da informação, que atua efetuando testes de segurança em empresas.

 

Qual o objetivo?

É demonstrar de maneira clara e concisa quais as falhas de segurança existentes nestes ambientes explorando-as da mesma maneira que um agente malicioso faria, porém de maneira totalmente controlada e sem causar nenhum tipo de dano aos assets da empresa.

 

Como é realizado o trabalho de um pentester?

A ideia é que o cliente possa ter a real dimensão de sua exposição a estes ataques criminosos. Na contratação é assinado um termo de Confidencialidade e a partir daí inicia-se a análise. Eu trabalho exclusivamente com testes de penetração chamados “Black-Box”, ou seja, nenhum tipo de informação é fornecida e nenhum acesso privilegiado é requisitado. Faço tudo remotamente para que seja um Pentest com resultados extremamente realísticos.

 

E como são os resultados? Você já encontrou um sistema seguro com falhas?

Em sete anos trabalhando exclusivamente nesta área, nunca encontrei uma empresa onde não foi possível conseguir a intrusão. Sempre alguma coisa importante é esquecida para trás. Mesmo empresas de renome possuem fragilidades em maior ou menor escala, e que podem ser exploradas por agentes maliciosos.

 

Então, ao seu ver, todos devem trabalhar juntos? Desde o pessoal do desenvolvimento e os Sysadmins, e principalmente, a figura agora do Pentester?

É fundamental e, como irei demonstrar com minha palestra, também devemos colocar na equação o “Usuário”. Aquele cara que não é de TI, porém é quem gerencia e manipula os assets de valor da empresa. Esses são os grandes alvos e são eles quem devem estar atentos para não serem a principal brecha usada. Então temos que ajudá-los, para que eles nos ajudem.

 

Quanto tempo de estudo e aprendizado para chegar a esse nível que você se encontra hoje?

Eu trabalho na área de segurança da informação a aproximadamente 12 anos, então, é uma área que requer verdadeira paixão e disposição. Para o pessoal que deseja ingressar nessa área recomendo três coisas: ânimo para passar as madrugadas acordado estudando e pesquisando, curiosidade sem fim, e por fim, estar sempre disposto a aprender mais. Estamos na linha de frente e temos que estar à frente dos “inimigos”.

 

Você não acha que a mídia, às vezes (a maioria), detona a palavra Hacker?

Isso já vem desde os primórdios. É interessante, já participei de eventos de segurança onde o próprio pessoal acabava enfiando os pés pelas mãos. Já vi gente tentando usar o termo Cyberpunk para descrever “criminosos digitais”. Então, vai ser uma disputa sem fim. Para mim é simples, quem comete crime deve ser chamado de criminoso e só. Ponto.