SlideShare uma empresa Scribd logo
1 de 81
Teste de Invasão
Samantha Nunes
Segurança da informação
Samantha Nunes
• Analista de Qualidade de Software na Take
@samanthamoraisn
• Formada em Ciência da Computação
pela PUC Minas
• Pós-graduada em Segurança da Informação
pela UNA
samanthamoraisnunes@gmail.com
Agenda
• Visão geral sobre Segurança da Informação
• Fases de um Teste de invasão
• Demonstrações
• Desafios
Cuidado ao realizar
testes de segurança
• Todas as ferramentas que serão mostradas funcionam de
verdade
• Invasão de dispositivos - Pena: Detenção, de 3 (três)
meses a 1 (um) ano, e multa.
Mas o que é
“informação”?Um dado pode ser um número, uma palavra e etc
Uma informação é esse dado em um contexto
Segurança
da
informação“Preservação da Confidencialidade,
Integridade e Disponibilidade da
informação.”
ISO/IEC 27002
Confidencialidad
e
Somente as pessoas autorizadas terão
acesso às informações
Disponibilid
ade
O acesso às informações sempre que for
necessário por pessoas autorizadas
Integrida
de
As informações serão confiáveis e exatas. Pessoas
não autorizadas não podem alterar os dados
Mas qual a importância
da Segurança da
Informação?
Ransomwares
[WannaCry]
DDoS
Distributed Denial of Service (Negação de serviço distribuída)
Invasão da SONY
3000 computadores
infectados
800 servidores
Divulgação de salários,
documentos de produções...
Correspondente CBS
Base de e-mails de clientes
Hackers são presos após roubarem 30
Jeeps usando laptop
Os ladrões utilizavam
o notebook para
invadir o sistema do
veículo, abrir as
portas e iniciar a
ignição.
Internet of Things
Termos
• Hacker White-hat: utiliza seu conhecimento para testar
sistemas e identificar vulnerabilidade para que sejam
corrigidas
• Hacker Black-hat ou Cracker: Utiliza seus
conhecimentos para invadir sistemas com objetivo de
conseguir acessos não autorizados
Termos
• Engenheiro social: Utiliza técnicas para enganar pessoas e
conseguir acesso a informações privilegiadas
• Script Kiddie: Utilizam tutoriais na internet para conseguir
invadir o maior número de sistemas e não tem alvos
definidos
• Defacer: Apenas substitui página principal de sites
• Lamer: Aparenta ter muito conhecimento, mas não na
realidade tem pouco.
The only way to
stop a hacker is to
think like one!
Certified Ethical Hacker
Sem
conhecimento
sobre o alvo
Tipos de teste
de invasão
Black Box
Conhecimento
parcial
sobre o alvo
Gray Box
Total
conhecimento
sobre o alvo
White Box
Fases do teste de
invasãoPreparação
Coleta de informações
Modelagem de Ameaças
Análise de Vulnerabilidades
Exploração de Falhas
Pós-exploração de falhas
Geração de Relatório
1
2
3
4
5
6
7
Fases do teste de
invasãoPreparação
Coleta de informações
Modelagem de Ameaças
Análise de Vulnerabilidades
Exploração de Falhas
Pós-exploração de falhas
Geração de Relatório
1
2
3
4
5
6
7
Fases do teste de
invasãoPreparação1
Compreender tanto sobre a área de atuação da
empresa quanto sobre o objetivo do testes de
invasão
Falhas de
comunicação
Fases do teste de
invasãoPreparação1
Escopo:
1. O que pode ou não ser testado?
Fases do teste de
invasãoPreparação1
Escopo:
1. O que pode ou não ser testado?
2. Ao encontrar uma vulnerabilidade, o teste deve
continuar?
Dependendo das vulnerabilidades exploradas,
podem ser expostas informações estratégicas
Fases do teste de
invasãoPreparação1
Escopo:
1. O que pode ou não ser testado?
2. Ao encontrar uma vulnerabilidade, o teste deve
continuar?
3. Pode utilizar engenharia social?
Fases do teste de
invasãoPreparação1
Janela de testes:
1. Em quais dias os testes poderão ser executados?
2. Em quais horários os testes poderão ser
executados?
Fases do teste de
invasãoPreparação1
Informações de contato:
1. Caso algo inesperado ocorra, quem deverá ser
acionado?
Fases do teste de
invasãoPreparação1
Cartão para “Sair da cadeia livremente”:
1. Quem está autorizando este teste?
Cuidado ao realizar testes
de segurança
LEI Nº 12.737 - Lei “Carolina Dieckmann”
Dispõe sobre a tipificação criminal de
delitos informáticos e dá outras providências
Cuidado ao realizar testes
de segurança
Art. 154-A. Invadir dispositivo informático alheio, conectado
ou não à rede de computadores, mediante violação indevida
de mecanismo de segurança e com o fim de obter, adulterar
ou destruir dados ou informações sem autorização expressa
ou tácita do titular do dispositivo ou instalar
vulnerabilidades para obter vantagem ilícita:
Pena - detenção, de 3 (três) meses
a 1 (um) ano, e multa.
Cuidado ao realizar testes
de segurança
Pena - detenção, de 3 (três) meses
a 1 (um) ano, e multa.
§ 1° Incorre na mesma pena quem interrompe serviço
telemático ou de informação de utilidade pública, ou
impede ou dificulta-lhe o restabelecimento.
Cuidado ao realizar
testes de segurança
Fases do teste de
invasãoPreparação1
Termos de pagamento:
1. Qual o valor a ser pago pelo serviço?
2. Qual é o acordo de confidencialidade?
3. Limite de responsabilidade
Fases do teste de
invasãoPreparação
Coleta de informações
Modelagem de Ameaças
Análise de Vulnerabilidades
Exploração de Falhas
Pós-exploração de falhas
Geração de Relatório
2
3
4
5
6
7
1
Fases do teste de
invasãoColeta de informações2
O objetivo dessa fase é conhecer o cliente
Fases do teste de
invasãoColeta de informações2
1. WaybackMachine
Fases do teste de
invasãoColeta de informações2
1997
2015
2017
Fases do teste de
invasãoColeta de informações2
2. Vagas de emprego
Através de vagas de emprego, dependendo do detalhamento, é
possível compreender toda a infraestrura e sistemas utilizados
O objetivo dessa fase é conhecer o cliente
1. Fontes Abertas
Fases do teste de
invasãoColeta de informações2
3. WHOIS
Coleta de informações2
Demonstração
Fases do teste de
invasãoColeta de informações2
4. Google Hacking
Encontrar arquivos dentro de sites, páginas que deveriam ser secretas, lista
de e-mails, lista de senhas e etc com a utilização de comandos
Fases do teste de
invasãoColeta de informações2
4. Google Hacking
backup filetype:sql
Usando Filetype é possível
encontrar arquivos com
extensões específicas
Fases do teste de
invasãoColeta de informações2
1. Google Hacking
site gov br filetype xls
contato
Fases do teste de
invasãoColeta de informações2
4. Google Hacking
+site: gov.br
+filetype:sql
+password
Fases do teste de
invasãoColeta de informações2
4. Google Hacking
Robots.txt
Controlem permissões de acesso a
determinadas páginas ou pastas dos
sites.
O robots.txt controla qual informação
de um site deve ou não deve ser
indexada pelos sites de busca.
Fases do teste de
invasãoColeta de informações2
4. Google Hacking
Fases do teste de
invasãoColeta de informações2
5. Ferramentas de busca forense
OSINT Framework
1. Procura por dispositivos
conectadosSHODAN
The World's Most Dangerous Search Engine
Fases do teste de
invasãoColeta de informações2
Fases do teste de
invasãoColeta de informações2
OSINT Framework
Coleta de informações2
Demonstração
Quem é o elo fraco
da segurança da
informação?
Engenharia
Social
a arte de enganar
Fases do teste de
invasão
Engenharia
Social
A engenharia social pode ser definida como a ação de
tentar obter informações ou influenciar alguém a
realizar alguma ação apoiando-se na confiança de
outras pessoas
Fases do teste de
invasão
Engenharia
Social
Phishing
Fases do teste de
invasão
Engenharia
Social
Spear Phishing
Fases do teste de
invasãoPreparação
Coleta de informações
Modelagem de Ameaças
Análise de Vulnerabilidades
Exploração de Falhas
Pós-exploração de falhas
Geração de Relatório
2
3
4
5
6
7
1
Fases do teste de
invasãoModelagem de Ameaças3
As informações encontradas na fase de coleta de
informações serão utilizadas como base para
analisar como poderia ocorrer um ataque
Fases do teste de
invasãoPreparação
Coleta de informações
Modelagem de Ameaças
Análise de Vulnerabilidades
Exploração de Falhas
Pós-exploração de falhas
Geração de Relatório
2
3
4
5
6
7
1
Fases do teste de
invasãoAnálise de Vulnerabilidades4
1. Nmap
• Descoberta de hosts - Identificando hosts na rede.
• Scanner de portas - Mostrando as portas TCP e UDP abertas.
• Detecção de versão - Interrogando serviços na rede para
determinar a aplicação e o número da versão.
• Detecção do sistema operacional
• Interação com scripts com o alvo - Usando Nmap Scripting
Engine
Fases do teste de
invasãoAnálise de Vulnerabilidades4
2. Nikto
Fases do teste de
invasãoExploração de Falhas5
OWASP Zed Attack Proxy
Project - OWASP
Open Web Application
Security Project
Top Ten OWASP
Fases do teste de
invasãoAnálise de Vulnerabilidades4
3. Análise manual
Fases do teste de
invasãoPreparação
Coleta de informações
Modelagem de Ameaças
Análise de Vulnerabilidades
Exploração de Falhas
Pós-exploração de falhas
Geração de Relatório
2
3
4
5
6
7
1
Fases do teste de
invasãoExploração de Falhas5
Nessa fase são executados exploits
Dados, comandos ou
códigos executáveis
capazes de aproveitar
as vulnerabilidades de
sistemas
Fases do teste de
invasãoExploração de Falhas5
Metasploit
Possui centenas de
exploits e ferramentas
muito avançadas que
nos permite testar
vulnerabilidades em
muitas plataformas,
sistemas operacionais
e servidores
Fases do teste de
invasãoExploração de Falhas5
Meterpreter
Vai permitir enviar
comandos para o
sistema invadido com
exploit
Visualizar informações de rede
meterpreter > ipconfig
Exibir qual o usuários está executando o Meterpreter
meterpreter > getuid
Logar como system
meterpreter > getsystem
Ganhar privilegios
meterpreter > user priv
Executar um comando na maquina remota
meterpreter > execute -f cmd.exe -i –H
Usar o shell (prompt) remoto
meterpreter > shell
Fases do teste de
invasãoExploração de Falhas5
Demonstração
Exploração de Falhas5
Fases do teste de
invasãoPreparação
Coleta de informações
Modelagem de Ameaças
Análise de Vulnerabilidades
Exploração de Falhas
Pós-exploração de falhas
Geração de Relatório
2
3
4
5
6
7
1
Fases do teste de
invasãoPós-exploração de falhas6
• Analisar as informações sobre o sistema invadido e são
verificadas o que é possível realizar com o acesso adquirido
• Avaliar quais dessas vulnerabilidades são relevantes
Fases do teste de
invasãoPreparação
Coleta de informações
Modelagem de Ameaças
Análise de Vulnerabilidades
Exploração de Falhas
Pós-exploração de falhas
Geração de Relatório
2
3
4
5
6
7
1
Fases do teste de
invasãoGeração de Relatório7
• Sumário executivo: Descreve os objetivos do teste e
oferece uma visão geral dos resultados levando em
consideração que o público alvo são os executivos
responsáveis pelo projeto
• Relatório técnico: Nesta seção estão presentes todos os
detalhes técnicos da realização dos testes considerando
que o público alvo são os responsáveis por implementar
as melhorias.
Fases do teste de
invasãoPreparação
Coleta de informações
Modelagem de Ameaças
Análise de Vulnerabilidades
Exploração de Falhas
Pós-exploração de falhas
Geração de Relatório
1
2
3
4
5
6
7
Referências!
Obrigad
a!
Samantha Nunes
@samanthamoraisn
samanthamoraisnunes@gmail.com

Mais conteúdo relacionado

Mais procurados

Seguranca da Informação - Introdução - Novo
Seguranca da Informação - Introdução - NovoSeguranca da Informação - Introdução - Novo
Seguranca da Informação - Introdução - Novo
Luiz Arthur
 
Importância, os mecanismos e a segurança dos sistemas operativos.
Importância, os mecanismos e a segurança dos sistemas operativos.Importância, os mecanismos e a segurança dos sistemas operativos.
Importância, os mecanismos e a segurança dos sistemas operativos.
Diogo Rosa
 

Mais procurados (20)

AULA 9 - INTRODUÇÃO À CIBERSEGURANÇA
AULA 9 - INTRODUÇÃO À CIBERSEGURANÇAAULA 9 - INTRODUÇÃO À CIBERSEGURANÇA
AULA 9 - INTRODUÇÃO À CIBERSEGURANÇA
 
Seguranca da Informação - Introdução - Novo
Seguranca da Informação - Introdução - NovoSeguranca da Informação - Introdução - Novo
Seguranca da Informação - Introdução - Novo
 
Segurança da Informação e Políticas de Segurança
Segurança da Informação e Políticas de SegurançaSegurança da Informação e Políticas de Segurança
Segurança da Informação e Políticas de Segurança
 
Segurança informática: contexto, conceitos e desafios
Segurança informática: contexto, conceitos e desafiosSegurança informática: contexto, conceitos e desafios
Segurança informática: contexto, conceitos e desafios
 
Segurança em sistemas de informação
Segurança em sistemas de informaçãoSegurança em sistemas de informação
Segurança em sistemas de informação
 
Segurança da Informação - Aula 4 - Malwares
Segurança da Informação - Aula 4 - MalwaresSegurança da Informação - Aula 4 - Malwares
Segurança da Informação - Aula 4 - Malwares
 
O que mudou na ISO 27002:2013
O que mudou na ISO 27002:2013O que mudou na ISO 27002:2013
O que mudou na ISO 27002:2013
 
Palestra - Segurança da Informação
Palestra - Segurança da InformaçãoPalestra - Segurança da Informação
Palestra - Segurança da Informação
 
Aula 3 - Política de Segurança da Informação (PSI)
Aula 3 - Política de Segurança da Informação (PSI)Aula 3 - Política de Segurança da Informação (PSI)
Aula 3 - Política de Segurança da Informação (PSI)
 
Aula 5 - Assinatura e Certificado Digital
Aula 5 - Assinatura e Certificado DigitalAula 5 - Assinatura e Certificado Digital
Aula 5 - Assinatura e Certificado Digital
 
Desafios da cibersegurança - ontem, hoje e amanhã
Desafios da cibersegurança - ontem, hoje e amanhãDesafios da cibersegurança - ontem, hoje e amanhã
Desafios da cibersegurança - ontem, hoje e amanhã
 
Firewall
FirewallFirewall
Firewall
 
Segurança de redes - Conceitos de firewall
Segurança de redes - Conceitos de firewall Segurança de redes - Conceitos de firewall
Segurança de redes - Conceitos de firewall
 
Segurança na Internet
Segurança na InternetSegurança na Internet
Segurança na Internet
 
Aula 5 - Redes de computadores
Aula 5 - Redes de computadoresAula 5 - Redes de computadores
Aula 5 - Redes de computadores
 
Segurança da informação - Aula 7 - ISO 27002
Segurança da informação - Aula 7 - ISO 27002Segurança da informação - Aula 7 - ISO 27002
Segurança da informação - Aula 7 - ISO 27002
 
Ameacas ataques e Cyberseguranca básica.pdf
Ameacas ataques e Cyberseguranca básica.pdfAmeacas ataques e Cyberseguranca básica.pdf
Ameacas ataques e Cyberseguranca básica.pdf
 
Segurança da informação golpes, ataques e riscos
Segurança da informação golpes, ataques e riscosSegurança da informação golpes, ataques e riscos
Segurança da informação golpes, ataques e riscos
 
Palestra: Tendências e Desafios da Segurança na Internet
Palestra: Tendências e Desafios da Segurança na InternetPalestra: Tendências e Desafios da Segurança na Internet
Palestra: Tendências e Desafios da Segurança na Internet
 
Importância, os mecanismos e a segurança dos sistemas operativos.
Importância, os mecanismos e a segurança dos sistemas operativos.Importância, os mecanismos e a segurança dos sistemas operativos.
Importância, os mecanismos e a segurança dos sistemas operativos.
 

Semelhante a Segurança da informação

Palestra cnasi 2013 s.video
Palestra cnasi 2013 s.videoPalestra cnasi 2013 s.video
Palestra cnasi 2013 s.video
Andre Takegawa
 
Introdução ao teste de intrusão em redes
Introdução ao teste de intrusão em redesIntrodução ao teste de intrusão em redes
Introdução ao teste de intrusão em redes
Alisson Fuckner
 
Desafios Futuros e Oportunidades
Desafios Futuros e OportunidadesDesafios Futuros e Oportunidades
Desafios Futuros e Oportunidades
Marcio Cunha
 

Semelhante a Segurança da informação (20)

Ethical Hacking - Campus Party Brasília 2017
Ethical Hacking - Campus Party Brasília 2017Ethical Hacking - Campus Party Brasília 2017
Ethical Hacking - Campus Party Brasília 2017
 
Aula de seguranca (1)
Aula de seguranca (1)Aula de seguranca (1)
Aula de seguranca (1)
 
Palestras Como Ele Achou Estas Falhas V.1.0
Palestras Como Ele Achou Estas Falhas V.1.0Palestras Como Ele Achou Estas Falhas V.1.0
Palestras Como Ele Achou Estas Falhas V.1.0
 
"Técnicas e Ferramentas para Auditorias Testes de Invasão"
"Técnicas e Ferramentas para Auditorias Testes de Invasão" "Técnicas e Ferramentas para Auditorias Testes de Invasão"
"Técnicas e Ferramentas para Auditorias Testes de Invasão"
 
Como começar na área de PenTest - Womcy Security Day Fatec
Como começar na área de PenTest - Womcy Security Day FatecComo começar na área de PenTest - Womcy Security Day Fatec
Como começar na área de PenTest - Womcy Security Day Fatec
 
Palestra cnasi 2013 s.video
Palestra cnasi 2013 s.videoPalestra cnasi 2013 s.video
Palestra cnasi 2013 s.video
 
Aula import seg
Aula import segAula import seg
Aula import seg
 
Importância do profissional Hacker ético no mercado de trabalho
Importância do profissional Hacker ético no mercado de trabalhoImportância do profissional Hacker ético no mercado de trabalho
Importância do profissional Hacker ético no mercado de trabalho
 
Aula03 – Códigos Maliciosos e Tipos de Ataques
Aula03 – Códigos Maliciosos e Tipos de AtaquesAula03 – Códigos Maliciosos e Tipos de Ataques
Aula03 – Códigos Maliciosos e Tipos de Ataques
 
Pentest
Pentest Pentest
Pentest
 
Introdução ao teste de intrusão em redes
Introdução ao teste de intrusão em redesIntrodução ao teste de intrusão em redes
Introdução ao teste de intrusão em redes
 
Desafios Futuros e Oportunidades
Desafios Futuros e OportunidadesDesafios Futuros e Oportunidades
Desafios Futuros e Oportunidades
 
Testes de segurança desafios e oportunidades
Testes de segurança desafios e oportunidadesTestes de segurança desafios e oportunidades
Testes de segurança desafios e oportunidades
 
teste de invasão
teste de invasãoteste de invasão
teste de invasão
 
Ethical Hacking
Ethical HackingEthical Hacking
Ethical Hacking
 
[GUTS-RS] - Testes de Segurança: O que preciso saber para planejar
 [GUTS-RS] - Testes de Segurança: O que preciso saber para planejar [GUTS-RS] - Testes de Segurança: O que preciso saber para planejar
[GUTS-RS] - Testes de Segurança: O que preciso saber para planejar
 
Artigo cientifico
Artigo cientifico Artigo cientifico
Artigo cientifico
 
Desenvolvimento de exploits
Desenvolvimento de exploitsDesenvolvimento de exploits
Desenvolvimento de exploits
 
Pen Test, Afinal o que é ? - FLISOL 2010
Pen Test, Afinal o que é ? - FLISOL 2010Pen Test, Afinal o que é ? - FLISOL 2010
Pen Test, Afinal o que é ? - FLISOL 2010
 
Hacking Ético e os Testes de Invasão - UruguaianaTech 2014
Hacking Ético e os Testes de Invasão - UruguaianaTech 2014Hacking Ético e os Testes de Invasão - UruguaianaTech 2014
Hacking Ético e os Testes de Invasão - UruguaianaTech 2014
 

Último

Apresentação Power Embedded - Descubra uma nova forma de compartilhar relatór...
Apresentação Power Embedded - Descubra uma nova forma de compartilhar relatór...Apresentação Power Embedded - Descubra uma nova forma de compartilhar relatór...
Apresentação Power Embedded - Descubra uma nova forma de compartilhar relatór...
Dirceu Resende
 

Último (11)

ATIVIDADE 1 - CUSTOS DE PRODUÇÃO - 52_2024.docx
ATIVIDADE 1 - CUSTOS DE PRODUÇÃO - 52_2024.docxATIVIDADE 1 - CUSTOS DE PRODUÇÃO - 52_2024.docx
ATIVIDADE 1 - CUSTOS DE PRODUÇÃO - 52_2024.docx
 
EAD Curso - CIÊNCIA DE DADOS NA INDÚSTTRIA
EAD Curso - CIÊNCIA DE DADOS NA INDÚSTTRIAEAD Curso - CIÊNCIA DE DADOS NA INDÚSTTRIA
EAD Curso - CIÊNCIA DE DADOS NA INDÚSTTRIA
 
From_SEH_Overwrite_with_Egg_Hunter_to_Get_a_Shell_PT-BR.pdf
From_SEH_Overwrite_with_Egg_Hunter_to_Get_a_Shell_PT-BR.pdfFrom_SEH_Overwrite_with_Egg_Hunter_to_Get_a_Shell_PT-BR.pdf
From_SEH_Overwrite_with_Egg_Hunter_to_Get_a_Shell_PT-BR.pdf
 
Apostila e caderno de exercicios de WORD
Apostila e caderno de exercicios de  WORDApostila e caderno de exercicios de  WORD
Apostila e caderno de exercicios de WORD
 
Entrevistas, artigos, livros & citações de Paulo Pagliusi
Entrevistas, artigos, livros & citações de Paulo PagliusiEntrevistas, artigos, livros & citações de Paulo Pagliusi
Entrevistas, artigos, livros & citações de Paulo Pagliusi
 
ATIVIDADE 1 - GESTÃO DE PESSOAS E DESENVOLVIMENTO DE EQUIPES - 52_2024.docx
ATIVIDADE 1 - GESTÃO DE PESSOAS E DESENVOLVIMENTO DE EQUIPES - 52_2024.docxATIVIDADE 1 - GESTÃO DE PESSOAS E DESENVOLVIMENTO DE EQUIPES - 52_2024.docx
ATIVIDADE 1 - GESTÃO DE PESSOAS E DESENVOLVIMENTO DE EQUIPES - 52_2024.docx
 
[ServiceNow] Upgrade de versão - 2ª edição (Revisada, atualizada e ampliada)
[ServiceNow] Upgrade de versão - 2ª edição (Revisada, atualizada e ampliada)[ServiceNow] Upgrade de versão - 2ª edição (Revisada, atualizada e ampliada)
[ServiceNow] Upgrade de versão - 2ª edição (Revisada, atualizada e ampliada)
 
COI CENTRO DE OPERAÇÕES INDUSTRIAIS NAS USINAS
COI CENTRO DE OPERAÇÕES INDUSTRIAIS NAS USINASCOI CENTRO DE OPERAÇÕES INDUSTRIAIS NAS USINAS
COI CENTRO DE OPERAÇÕES INDUSTRIAIS NAS USINAS
 
Apresentação Power Embedded - Descubra uma nova forma de compartilhar relatór...
Apresentação Power Embedded - Descubra uma nova forma de compartilhar relatór...Apresentação Power Embedded - Descubra uma nova forma de compartilhar relatór...
Apresentação Power Embedded - Descubra uma nova forma de compartilhar relatór...
 
Palestras sobre Cibersegurança em Eventos - Paulo Pagliusi
Palestras sobre Cibersegurança em Eventos - Paulo PagliusiPalestras sobre Cibersegurança em Eventos - Paulo Pagliusi
Palestras sobre Cibersegurança em Eventos - Paulo Pagliusi
 
ATIVIDADE 1 - CÁLCULO DIFERENCIAL E INTEGRAL II - 52_2024.docx
ATIVIDADE 1 - CÁLCULO DIFERENCIAL E INTEGRAL II - 52_2024.docxATIVIDADE 1 - CÁLCULO DIFERENCIAL E INTEGRAL II - 52_2024.docx
ATIVIDADE 1 - CÁLCULO DIFERENCIAL E INTEGRAL II - 52_2024.docx
 

Segurança da informação

  • 1. Teste de Invasão Samantha Nunes Segurança da informação
  • 2. Samantha Nunes • Analista de Qualidade de Software na Take @samanthamoraisn • Formada em Ciência da Computação pela PUC Minas • Pós-graduada em Segurança da Informação pela UNA samanthamoraisnunes@gmail.com
  • 3. Agenda • Visão geral sobre Segurança da Informação • Fases de um Teste de invasão • Demonstrações • Desafios
  • 4. Cuidado ao realizar testes de segurança • Todas as ferramentas que serão mostradas funcionam de verdade • Invasão de dispositivos - Pena: Detenção, de 3 (três) meses a 1 (um) ano, e multa.
  • 5. Mas o que é “informação”?Um dado pode ser um número, uma palavra e etc Uma informação é esse dado em um contexto
  • 6. Segurança da informação“Preservação da Confidencialidade, Integridade e Disponibilidade da informação.” ISO/IEC 27002
  • 7. Confidencialidad e Somente as pessoas autorizadas terão acesso às informações
  • 8. Disponibilid ade O acesso às informações sempre que for necessário por pessoas autorizadas
  • 9. Integrida de As informações serão confiáveis e exatas. Pessoas não autorizadas não podem alterar os dados
  • 10. Mas qual a importância da Segurança da Informação?
  • 12.
  • 13. DDoS Distributed Denial of Service (Negação de serviço distribuída)
  • 14. Invasão da SONY 3000 computadores infectados 800 servidores Divulgação de salários, documentos de produções... Correspondente CBS
  • 15.
  • 16. Base de e-mails de clientes
  • 17. Hackers são presos após roubarem 30 Jeeps usando laptop Os ladrões utilizavam o notebook para invadir o sistema do veículo, abrir as portas e iniciar a ignição.
  • 19. Termos • Hacker White-hat: utiliza seu conhecimento para testar sistemas e identificar vulnerabilidade para que sejam corrigidas • Hacker Black-hat ou Cracker: Utiliza seus conhecimentos para invadir sistemas com objetivo de conseguir acessos não autorizados
  • 20. Termos • Engenheiro social: Utiliza técnicas para enganar pessoas e conseguir acesso a informações privilegiadas • Script Kiddie: Utilizam tutoriais na internet para conseguir invadir o maior número de sistemas e não tem alvos definidos • Defacer: Apenas substitui página principal de sites • Lamer: Aparenta ter muito conhecimento, mas não na realidade tem pouco.
  • 21. The only way to stop a hacker is to think like one! Certified Ethical Hacker
  • 22. Sem conhecimento sobre o alvo Tipos de teste de invasão Black Box Conhecimento parcial sobre o alvo Gray Box Total conhecimento sobre o alvo White Box
  • 23. Fases do teste de invasãoPreparação Coleta de informações Modelagem de Ameaças Análise de Vulnerabilidades Exploração de Falhas Pós-exploração de falhas Geração de Relatório 1 2 3 4 5 6 7
  • 24. Fases do teste de invasãoPreparação Coleta de informações Modelagem de Ameaças Análise de Vulnerabilidades Exploração de Falhas Pós-exploração de falhas Geração de Relatório 1 2 3 4 5 6 7
  • 25. Fases do teste de invasãoPreparação1 Compreender tanto sobre a área de atuação da empresa quanto sobre o objetivo do testes de invasão Falhas de comunicação
  • 26. Fases do teste de invasãoPreparação1 Escopo: 1. O que pode ou não ser testado?
  • 27. Fases do teste de invasãoPreparação1 Escopo: 1. O que pode ou não ser testado? 2. Ao encontrar uma vulnerabilidade, o teste deve continuar? Dependendo das vulnerabilidades exploradas, podem ser expostas informações estratégicas
  • 28. Fases do teste de invasãoPreparação1 Escopo: 1. O que pode ou não ser testado? 2. Ao encontrar uma vulnerabilidade, o teste deve continuar? 3. Pode utilizar engenharia social?
  • 29. Fases do teste de invasãoPreparação1 Janela de testes: 1. Em quais dias os testes poderão ser executados? 2. Em quais horários os testes poderão ser executados?
  • 30. Fases do teste de invasãoPreparação1 Informações de contato: 1. Caso algo inesperado ocorra, quem deverá ser acionado?
  • 31. Fases do teste de invasãoPreparação1 Cartão para “Sair da cadeia livremente”: 1. Quem está autorizando este teste? Cuidado ao realizar testes de segurança
  • 32. LEI Nº 12.737 - Lei “Carolina Dieckmann” Dispõe sobre a tipificação criminal de delitos informáticos e dá outras providências Cuidado ao realizar testes de segurança
  • 33. Art. 154-A. Invadir dispositivo informático alheio, conectado ou não à rede de computadores, mediante violação indevida de mecanismo de segurança e com o fim de obter, adulterar ou destruir dados ou informações sem autorização expressa ou tácita do titular do dispositivo ou instalar vulnerabilidades para obter vantagem ilícita: Pena - detenção, de 3 (três) meses a 1 (um) ano, e multa. Cuidado ao realizar testes de segurança
  • 34. Pena - detenção, de 3 (três) meses a 1 (um) ano, e multa. § 1° Incorre na mesma pena quem interrompe serviço telemático ou de informação de utilidade pública, ou impede ou dificulta-lhe o restabelecimento. Cuidado ao realizar testes de segurança
  • 35. Fases do teste de invasãoPreparação1 Termos de pagamento: 1. Qual o valor a ser pago pelo serviço? 2. Qual é o acordo de confidencialidade? 3. Limite de responsabilidade
  • 36. Fases do teste de invasãoPreparação Coleta de informações Modelagem de Ameaças Análise de Vulnerabilidades Exploração de Falhas Pós-exploração de falhas Geração de Relatório 2 3 4 5 6 7 1
  • 37. Fases do teste de invasãoColeta de informações2 O objetivo dessa fase é conhecer o cliente
  • 38. Fases do teste de invasãoColeta de informações2 1. WaybackMachine
  • 39. Fases do teste de invasãoColeta de informações2 1997 2015 2017
  • 40. Fases do teste de invasãoColeta de informações2 2. Vagas de emprego Através de vagas de emprego, dependendo do detalhamento, é possível compreender toda a infraestrura e sistemas utilizados
  • 41. O objetivo dessa fase é conhecer o cliente 1. Fontes Abertas
  • 42. Fases do teste de invasãoColeta de informações2 3. WHOIS
  • 44. Fases do teste de invasãoColeta de informações2 4. Google Hacking Encontrar arquivos dentro de sites, páginas que deveriam ser secretas, lista de e-mails, lista de senhas e etc com a utilização de comandos
  • 45. Fases do teste de invasãoColeta de informações2 4. Google Hacking backup filetype:sql Usando Filetype é possível encontrar arquivos com extensões específicas
  • 46.
  • 47. Fases do teste de invasãoColeta de informações2 1. Google Hacking site gov br filetype xls contato
  • 48. Fases do teste de invasãoColeta de informações2 4. Google Hacking +site: gov.br +filetype:sql +password
  • 49. Fases do teste de invasãoColeta de informações2 4. Google Hacking Robots.txt Controlem permissões de acesso a determinadas páginas ou pastas dos sites. O robots.txt controla qual informação de um site deve ou não deve ser indexada pelos sites de busca.
  • 50. Fases do teste de invasãoColeta de informações2 4. Google Hacking
  • 51. Fases do teste de invasãoColeta de informações2 5. Ferramentas de busca forense OSINT Framework
  • 52. 1. Procura por dispositivos conectadosSHODAN The World's Most Dangerous Search Engine
  • 53. Fases do teste de invasãoColeta de informações2
  • 54. Fases do teste de invasãoColeta de informações2 OSINT Framework
  • 56. Quem é o elo fraco da segurança da informação?
  • 58. Fases do teste de invasão Engenharia Social A engenharia social pode ser definida como a ação de tentar obter informações ou influenciar alguém a realizar alguma ação apoiando-se na confiança de outras pessoas
  • 59. Fases do teste de invasão Engenharia Social Phishing
  • 60. Fases do teste de invasão Engenharia Social Spear Phishing
  • 61. Fases do teste de invasãoPreparação Coleta de informações Modelagem de Ameaças Análise de Vulnerabilidades Exploração de Falhas Pós-exploração de falhas Geração de Relatório 2 3 4 5 6 7 1
  • 62. Fases do teste de invasãoModelagem de Ameaças3 As informações encontradas na fase de coleta de informações serão utilizadas como base para analisar como poderia ocorrer um ataque
  • 63. Fases do teste de invasãoPreparação Coleta de informações Modelagem de Ameaças Análise de Vulnerabilidades Exploração de Falhas Pós-exploração de falhas Geração de Relatório 2 3 4 5 6 7 1
  • 64.
  • 65. Fases do teste de invasãoAnálise de Vulnerabilidades4 1. Nmap • Descoberta de hosts - Identificando hosts na rede. • Scanner de portas - Mostrando as portas TCP e UDP abertas. • Detecção de versão - Interrogando serviços na rede para determinar a aplicação e o número da versão. • Detecção do sistema operacional • Interação com scripts com o alvo - Usando Nmap Scripting Engine
  • 66. Fases do teste de invasãoAnálise de Vulnerabilidades4 2. Nikto
  • 67. Fases do teste de invasãoExploração de Falhas5 OWASP Zed Attack Proxy Project - OWASP Open Web Application Security Project Top Ten OWASP
  • 68. Fases do teste de invasãoAnálise de Vulnerabilidades4 3. Análise manual
  • 69. Fases do teste de invasãoPreparação Coleta de informações Modelagem de Ameaças Análise de Vulnerabilidades Exploração de Falhas Pós-exploração de falhas Geração de Relatório 2 3 4 5 6 7 1
  • 70. Fases do teste de invasãoExploração de Falhas5 Nessa fase são executados exploits Dados, comandos ou códigos executáveis capazes de aproveitar as vulnerabilidades de sistemas
  • 71. Fases do teste de invasãoExploração de Falhas5 Metasploit Possui centenas de exploits e ferramentas muito avançadas que nos permite testar vulnerabilidades em muitas plataformas, sistemas operacionais e servidores
  • 72. Fases do teste de invasãoExploração de Falhas5 Meterpreter Vai permitir enviar comandos para o sistema invadido com exploit Visualizar informações de rede meterpreter > ipconfig Exibir qual o usuários está executando o Meterpreter meterpreter > getuid Logar como system meterpreter > getsystem Ganhar privilegios meterpreter > user priv Executar um comando na maquina remota meterpreter > execute -f cmd.exe -i –H Usar o shell (prompt) remoto meterpreter > shell
  • 73. Fases do teste de invasãoExploração de Falhas5
  • 75. Fases do teste de invasãoPreparação Coleta de informações Modelagem de Ameaças Análise de Vulnerabilidades Exploração de Falhas Pós-exploração de falhas Geração de Relatório 2 3 4 5 6 7 1
  • 76. Fases do teste de invasãoPós-exploração de falhas6 • Analisar as informações sobre o sistema invadido e são verificadas o que é possível realizar com o acesso adquirido • Avaliar quais dessas vulnerabilidades são relevantes
  • 77. Fases do teste de invasãoPreparação Coleta de informações Modelagem de Ameaças Análise de Vulnerabilidades Exploração de Falhas Pós-exploração de falhas Geração de Relatório 2 3 4 5 6 7 1
  • 78. Fases do teste de invasãoGeração de Relatório7 • Sumário executivo: Descreve os objetivos do teste e oferece uma visão geral dos resultados levando em consideração que o público alvo são os executivos responsáveis pelo projeto • Relatório técnico: Nesta seção estão presentes todos os detalhes técnicos da realização dos testes considerando que o público alvo são os responsáveis por implementar as melhorias.
  • 79. Fases do teste de invasãoPreparação Coleta de informações Modelagem de Ameaças Análise de Vulnerabilidades Exploração de Falhas Pós-exploração de falhas Geração de Relatório 1 2 3 4 5 6 7

Notas do Editor

  1. Um dado pode ser um número, uma palavra Uma informação é esse dado em um contexto Conhecimento e a aplicação de ações sobre essa informação. Exemplo de eleições
  2. Um dado pode ser um número, uma palavra Uma informação é esse dado em um contexto Conhecimento e a aplicação de ações sobre essa informação. Exemplo de eleições
  3. https://haveibeenpwned.com/ https://hashes.org/public.php Diversas instituições[1] dos mais diversos segmentos estão sendo atacadas pelo ransomware WannaCry, o malware vem se espalhando rapidamente tendo como principal vetor de exploração a vulnerabilidade MS17-010[2] presente em todas as versões do sistema operacional Windows.
  4. http://map.norsecorp.com/#/ Monita o tráfego mundial Wesley Silva Juliano Sato
  5. LOIC é um programa de computador de código aberto escrito em C#[1] que tem como objetivo executar um ataque de negação de serviço (também conhecido como DDoS, do inglês "Distributed Denial of Service"). O programa foi desenvolvido pela Praetox Technologies em 2006 com o intuito de avaliar e testar redes, sendo depois disponibilizado para domínio público. O nome LOIC é a abreviação de Low Orbit Ion Cannon, uma arma fictícia existente no jogo de vídeo game Command & Conquer.[2][3] Uma versão em JavaScript foi escrita para permitir seu uso a partir de um navegador.[4]
  6. KeePass is an open source password manager. Passwords can be stored in highly-encrypted databases, which can be unlocked with one master password or ..
  7. https://haveibeenpwned.com/ https://hashes.org/public.php
  8. https://haveibeenpwned.com/ https://hashes.org/public.php
  9. Script Kiddie geralmente tilizam tutoriais e não tem um alvo, então qualquer um que esteja vulnerável pode ser vítima desse tipo de invasão
  10. Os hackers pensam em como eu posso chegar no mesmo resultado só que de uma forma diferente
  11. Gray box: saber se uma pessoa de marketing poderia acessar documentos do financeiro White box: saber se um funcionário admin fosse demitido o que ele poderia fazer? Saber as senhas de usuários de diretores
  12. É muito importante o alinhamento com os clientes, falhas de comunicação podem trazer muitos transtornos. Por isso temos algumas perguntas para serem respondidas. Dependendo do teste, um sistema pode ser danificado e se a empresa não tiver backup pode ser complicado.
  13. Vamos considerar o exemplo de um sistema hospitalar. É necessário compreender até que ponto o sistema pode ser testado. E uma outra coisa importante. Como durante os testes servidores podem ser desativados, é necessário mapear caso algo inesperado aconteça o que pode ser impactado.
  14. Para saber o que pode ser obtido ao explorar esta falha, pois dependendo das vulnerabilidades podem ser expostas informações estratégicas;
  15. Para saber o que pode ser obtido ao explorar esta falha, pois dependendo das vulnerabilidades podem ser expostas informações estratégicas;
  16. Vamos considerar o exemplo de um sistema hospitalar. É necessário compreender até que ponto o sistema pode ser testado. E uma outra coisa importante. Como durante os testes servidores podem ser desativados, é necessário mapear caso algo inesperado aconteça o que pode ser impactado.
  17. Vamos considerar o exemplo de um sistema hospitalar. É necessário compreender até que ponto o sistema pode ser testado. E uma outra coisa importante. Como durante os testes servidores podem ser desativados, é necessário mapear caso algo inesperado aconteça o que pode ser impactado.
  18. ´´E necessário ter conhecimento e consciência de que a utilização de algumas ferramentas de teste poderão impactar negativamente o ambiente de uma empresa, podendo causa inclusive a negação de serviço. Portanto não testem em qualquer site pois é considerado crime
  19. A forma tácita é aquele acordo verbal, o que se subentende. A forma expressa, ou formal, é aquela que obedece um procedimento de formalização. É o acordo no papel. Esta é mais forte por tornar público o acordo. Ou seja, qualquer um pode pegar o instrumento firmado e constatar qual acordo foi feito.
  20. Ataque DoS ou negação de serviço
  21. ´´E necessário ter conhecimento e consciência de que a utilização de algumas ferramentas de teste poderão impactar negativamente o ambiente de uma empresa, podendo causa inclusive a negação de serviço. Portanto não testem em qualquer site pois é considerado crime É necessário ter bem claro até onde é responsabilidade do teste algum dano que ocorrer no sistema, pois senão você pode ser processado dependendo do que acontecer, no caso de testes internos é bom ter o acompanhamento de alguém da área de infra tanto para criar a estratégia de teste quanto para acompanhamento
  22. Saber dados do site da empresa. Exemplo fredmoreira.com As informações podem ser usadas em uma engenharia social
  23. Saber a evolução do site, procurar e-mails de contato que ainda possam ser utilizados. Biblioteca digital.
  24. Saber dados do site da empresa. Exemplo fredmoreira.com As informações podem ser usadas em uma engenharia social
  25. Através de vagas de emprego, dependendo do detalhamento, é possível compreender toda a infra e sistemas utilizados
  26. Isso pode ser realizado de diversas formas, como pesquisa em fontes abertas, pesquisa nas redes sociais da empresa e até nos requisitos para uma vaga de emprego podem ter informações importantes sobre a infraestrutura, sistemas operacionais utilizados e etc. Muitas empresas contam como é a estrutura interna em uma descrição de vaga de emprego. E como isso pode ajudar? Você pode a partir das informações disponibilizadas escanear, na faixa de endereçamento da empresa, e tentar identificar quais máquinas estão com o sistema descrito e tentar explorar vulnerabilidades que já foram descobertas e que podem ser encontradas em base de dados de vulnerabilidades como o:
  27. Saber dados do site da empresa. Exemplo fredmoreira.com As informações podem ser usadas em uma engenharia social https://registro.br/2/whois http://www.whatsmyip.org/whois-dns-lookup/
  28. https://registro.br/2/whois http://www.whatsmyip.org/whois-dns-lookup/
  29. https://www.exploit-db.com/google-hacking-database/?action=search&ghdb_search_cat_id=5&ghdb_search_text= http://resources.infosecinstitute.com/google-hacking-the-hidden-face-of-google-2/#gref
  30. Saber dados do site da empresa. Exemplo fredmoreira.com As informações podem ser usadas em uma engenharia social
  31. Saber dados do site da empresa. Exemplo fredmoreira.com As informações podem ser usadas em uma engenharia social
  32. Saber dados do site da empresa. Exemplo fredmoreira.com As informações podem ser usadas em uma engenharia social
  33. Saber dados do site da empresa. Exemplo fredmoreira.com As informações podem ser usadas em uma engenharia social
  34. Com o resultado dessa busca, temos a informação valiosa de quais serviços ou diretórios estão publicados e em funcionamento, aumentando consideravelmente os riscos para que atacantes encontrem alguma pasta com falha nas permissões do diretório, e assim, alterar não só o site da organização mas prejudicar a imagem de uma empresa que levou tanto tempo para se firmar no mercado e demonstrar confiança nos seus negócios.
  35. Saber dados do site da empresa. Exemplo fredmoreira.com As informações podem ser usadas em uma engenharia social
  36. Saber informações sobre todos os dispositivos conectados
  37. Saber informações sobre todos os dispositivos conectados
  38. Saber informações sobre todos os dispositivos conectados A primeira é a ferramenta SHODAN, diariamente seus scripts varrem a internet em busca de qualquer coisa conectada na rede e tudo vai sendo salvo em um grande banco de dados para consultas, fazendo as perguntas corretas é possível rastrear qualquer coisa conectada, desde câmeras de segurança a servidores rodando qualquer tipo de aplicação e até mesmo sites que foram hackeados como mostro no exemplo acima.
  39. Saber informações sobre todos os dispositivos conectados
  40. Isso pode ser realizado de diversas formas, como pesquisa em fontes abertas, pesquisa nas redes sociais da empresa e até nos requisitos para uma vaga de emprego podem ter informações importantes sobre a infraestrutura, sistemas operacionais utilizados e etc.
  41. Cases do livro a arte de enganar
  42. Cases do livro a arte de enganar
  43. Cases do livro a arte de enganar
  44. Saber informações sobre todos os dispositivos conectados
  45. Usar o site pucminas.br como exemplo
  46. Nmap, verificar as portas abertas ou seja, que não estão protegidas por firewall
  47. É um scanner de vulnerabilidade web que procura por versões desatualizadas e erros de configuração Ping minastestingconference.com.br Nikto Nikto –h 54.231.168.243
  48. Nmap, verificar as portas abertas ou seja, que não estão protegidas por firewall Mostrar o site da puc login
  49. Nmap, verificar as portas abertas ou seja, que não estão protegidas por firewall
  50. Metasploit frameworkEle possui centenas de exploits, payloads e ferramentas muito avançadas que nos permite testar vulnerabilidades em muitas plataformas, sistemas operacionais e servidores.14 de abr de 2009
  51. Metasploit frameworkEle possui centenas de exploits, payloads e ferramentas muito avançadas que nos permite testar vulnerabilidades em muitas plataformas, sistemas operacionais e servidores.14 de abr de 2009
  52. msfadmin
  53. Nessa fase são analisadas as informações sobre o sistema invadido e são verificadas o que é possível realizar com o acesso adquirido, por exemplo acessar arquivos ou elevar nível de privilégio do usuário e analisar até onde é possível chegar. Após a realização dessa fase é necessário avaliar quais dessas vulnerabilidades são relevantes para o cliente, pois pode acontecer que um sistema invadido não dê acesso a nenhum possível alvo relevante.
  54. Nmap, verificar as portas abertas ou seja, que não estão protegidas por firewall