Académique Documents
Professionnel Documents
Culture Documents
(2004(2004-2008)
Testes de Penetrao
Daniel Dalalana Bertoglio
dalalana@feevale.br
Percia Forense: Proposta de uma Metodologia de Coleta de Indcios para Ambiente Windows.
(2009(2009-2011)
(2012(2012- 2013)
Segunda, 10/03/14
Segunda, 10/03/14
reas de Atuao
Segurana da Informao:
Segurana de Sistemas Web, Segurana e Auditoria de Sistemas. Especializao em Segurana de Redes de Computadores.
reas de Atuao
Segunda, 10/03/14
Segunda, 10/03/14
A Disciplina
O que a disciplina trata e o que ela no trata?
Roteiro
Introduo Planejamento e Preparao Obteno de Informaes Sondagem e Mapeamento Identificao de vulnerabilidades Invaso
Prof. Rafael Bohrer vila Programa de Ps(PIPCA)
Segunda, 10/03/14
Segunda, 10/03/14
Segunda, 10/03/14
ESTRATGICO
GRC (Governana, Risco e Compliance), Normas (COBIT, ITIL), Gesto da Continuidade do Negcio, Anlise de Maturidade Polticas de Segurana de TI, Mapeamento de Riscos, Planos de Continuidade, etc... Exploits, Ataques Ferramentas, Criptografia, Certificados,...
Prof. Rafael Bohrer Programa de Ps(PIPCA)
ESTRATGICO
GRC (Governana, Risco e Compliance), Normas (COBIT, ITIL), Gesto da Continuidade do Negcio, Anlise de Maturidade Polticas de Segurana de TI, Mapeamento de Riscos, Planos de Continuidade, etc... Exploits, Ataques Ferramentas, Criptografia, Certificados,...
TTICO
TTICO
OPERACIONAL
OPERACIONAL
Segunda, 10/03/14
Teste de Invaso
PENTEST
Teste de Invaso
PENTEST Pentest menos suscetvel a falsos positivos e falsos negativos. O que um ambiente vulnervel, atravs da avaliao de vulnerabilidades? Srie de fatores que o tornam vulnervel. Qual a diferena? Ex.: Apache desatualizado. AVALIAO DE VULNERABILIDADES
Prof. Rafael Bohrer vila Programa de Ps(PIPCA)
AVALIAO DE VULNERABILIDADES
TESTE DE CONFORMIDADE
POLTICA DE SEGURANA
Prof. Rafael Bohrer vila Programa de Ps(PIPCA)
Segunda, 10/03/14
Segunda, 10/03/14
Teste de Invaso
PENTEST
Teste de Invaso
PENTEST OS = Documento vivo onde controles precisam ser implementados. Ex.: Minha infra vulnervel a proliferao de pragas virtuais? No porque minha poltica prev que no se deve acessar..... Isto controlado??? POLTICA DE SEGURANA
Teste de conformidade = validao por check-list Satisfao o check-list, estou seguro? Pentest verifico se vou conseguir fazer a invaso
TESTE DE CONFORMIDADE
Segunda, 10/03/14
Segunda, 10/03/14
Teste de Invaso
Atividade tcnica controlada Teste de segurana Simulao de Ataques Reais Tentativa de acesso no-autorizado
Segunda, 10/03/14
Segunda, 10/03/14
Segunda, 10/03/14
Segunda, 10/03/14
Tcnica e Ferramental
Ferramental:
Etapas de um Pentest
1 Obteno de informaes 2 Varreduras 3 Invaso 4 Mantendo Acesso 5 Cobrindo rastros
Gosto/estilo Voltil
Tcnica:
Necessidade Slida/Robusta
Prof. Rafael Bohrer vila Programa de Ps(PIPCA)
Segunda, 10/03/14
Segunda, 10/03/14
Mas antes...
Permisso: Permisso:
Acordo legal
Mas antes...
Define os tipos de atividades Protege o consultor contra perdas e danos resultantes do teste
Segunda, 10/03/14
Segunda, 10/03/14
Planejamento e Preparao
Detalhes da infra: o que o cliente j informou? Preciso mais?
Acordo de confidencialidade: Protege o cliente! Equipamento e recursos: depende do escopo do teste! Relatrio de linha do tempo Acesso a testes anteriores Inspeo fsica: Engenharia Social
Prof. Rafael Bohrer vila Programa de Ps(PIPCA)
?
Segunda, 10/03/14
Prof. Rafael Bohrer vila Programa de Ps(PIPCA)
Segunda, 10/03/14
Planejamento e Preparao
Escopo: Objetivo / propsito Alvos Profundidade Excluses
Planejamento e Preparao
Objetivo / Propsito O que o cliente pretende obter? Ser a melhor escolha? Dificilmente a primeira escolha... Momento mais adequado? Verses beta, fornecedor de requisitos vai mudar, ...
Segunda, 10/03/14
Segunda, 10/03/14
Planejamento e Preparao
Alvos O que define o teste como bem sucedido? Capture a bandeira / O que conquistar Violao de poltica
Planejamento e Preparao
Profundidade At quando ir? Condies de parada O quanto muito? Ex.: servidor web
Segunda, 10/03/14
Segunda, 10/03/14
Segunda, 10/03/14
Planejamento e Preparao
Excluses Sistemas e estruturas que no podem cair Parceiros/Acordos de servio Excluso completa/parcial: explorar s tal range de ips
Planejamento e Preparao
Perfil do Atacante Tipos de testes Caixa preta, branca ou cinza?
Complexidade
A B
Segunda, 10/03/14
Planejamento e Preparao
Camada A Programadores Experientes No buscam publicidade Dedicam boa parte do tempo ao estudo e atualizao
Simular esse nvel envolve dedicao a cada vetor. Significa que voc chegou a uma vulnerabilidade terica descoberta mas no existe prova de conceito pblica para tal.
Planejamento e Preparao
Camada B Conhecimento de bons administradores de sistemas. Mais abrangncia, menos profundidade Contribuem com listas
Segunda, 10/03/14
Segunda, 10/03/14
Segunda, 10/03/14
Planejamento e Preparao
Camada C Dependem de scripts e pacotes prprontos. Experimentao irresponsvel Conhecimento incompleto
Planejamento e Preparao
Marco Zero De onde vo partir os ataques? Ataque Externo: maior realidade para o contexto Ataque Interno: poder de destruio de um colaborador.
Segunda, 10/03/14
Planejamento e Preparao
O que se sabe sobre o ambiente?
Planejamento e Preparao
Blind (caixa preta) Open (caixa branca) Hybrid Teste anunciado Teste no-anunciado Quem est sendo testado?
Atacante sobre o alvo
Prof. Rafael Bohrer vila Programa de Ps(PIPCA)
Segunda, 10/03/14
Segunda, 10/03/14
Quadro da OSSTMM
Segunda, 10/03/14
Planejamento e Preparao
Tratamento de questes especiais Sistema alvo caiu
Como detectar? Plano de resposta?
Planejamento e Preparao
Limitaes de tempo Restries de horrio
Horrios de backup, janelas autorizadas
Durao do teste
Datas fixas X Janelas de tempo Excluses
Quem contatar?
Nome, cargo, telefones, chave pblica e horrios.
Prof. Rafael Bohrer Programa de Ps(PIPCA) Prof. Rafael Bohrer Programa de Ps(PIPCA)
Segunda, 10/03/14
Planejamento e Preparao
Vetores de Ataque Classificao de vulnerabilidades (estimativa de impacto)
Identificao de circuitos de ataque e cenrios Caminho de menor resistncia rvores de ataques
Planejamento e Preparao
rvores de Ataque Ataques intrusivos e no intrusivos. Qual vai primeiro? Oramento e habilidade do atacante Probabilidade de sucesso e ocorrncia
Segunda, 10/03/14
Segunda, 10/03/14
Segunda, 10/03/14
Planejamento e Preparao
Planejamento e Preparao
Relatrio Final Sumrio Executivo Escopo Ferramentas Data e hora Sadas dos testes Vulnerabilidades e indicaes de tratamento Solues recomendadas e prioridades
Segunda, 10/03/14
Obteno de Informaes
Engenharia Social
Obteno de Informaes
Trashing (Dumpster Diving) Whois Entradas DNS Buscas na Internet Cpia de Website
Segunda, 10/03/14
Segunda, 10/03/14
Segunda, 10/03/14
Engenharia Social
O modo mais simples de obter uma informao pedindo por ela! Peopleware ES de tecnologia
Engenharia Social
7 tipos de persuaso:
Conformidade: maria vai com as outras Lgica: premissas at chegar a conclusao Necessidade: tendncia a ajudar, nobreza Autoridade: sabe com quem est falando? Reciprocidade: explorar a gratido Similaridade: pessoas que se identificam Informacional: Como est o Wolfie? Latindo.
Phishing Pessoal
Prof. Rafael Bohrer Programa de Ps(PIPCA)
ES de contato direto
Segunda, 10/03/14
Testes de Penetrao
Daniel Dalalana Bertoglio
dalalana@feevale.br
Segunda, 10/03/14