Baixado 12 vezes
Como começar na área de PenTest - Womcy Security Day Fatec
- 1. COMO COMEÇAR NAÁREA DE PENTEST? Security Day
- 4.
- 5.
- 6. O QUE ÉPENTEST? • PenTest (Penetration Testing) ou Teste de invasãotem como objetivo, simular um ataque cibernético na infraestrutura de uma organização, seja uma infraestrutura de rede, aplicação, sistemas e até mesmo usuários finais; • Sendo uma maneira de determinar se os controles de segurança foram bem implementados, as politicas de segurança estão de acordo e se as tecnologias estão seguras ou vulneráveis;
- 7. TIPOS DE PENTEST BLACKBOX WHITE BOX GRAY BOX
- 8. TIPOS DE PENTEST BlackBox: O profissional não possui conhecimentos do ambiente, assim será necessário procurar a melhor forma de comprometer um ambiente; • Os testes são classificados em dois tipos: • Blind Testing: Este teste verifica se um criminoso pode lançar um ataque com informações severamente limitadas, geralmente os pentesters só recebem o nome da empresa; • Double-Blind Testing: Nesse método, apenas um ou dois funcionários da organização têm conhecimento da realização do teste. Assim o Double-Blind Testing verifica a eficácia do monitoramento de segurança da organização, identificação de incidentes e o processos de resposta; • White Box: Você já possui conhecimentos de toda à infraestrutura da organização, o seu objetivo é apenas testar as vulnerabilidades e descobrir potências brechas também; • Gray Box: Já combina as duas analise, você vai ter algumas informações essenciais para atuar, geralmente esses acessos consistem só o acesso a rede e assim realizar os testes;
- 9. PROCESSO DE UMPENTEST
- 10. PROCESSO DE UMPENTEST • Determinar o escopo dos testes; • Coletar informações do alvo tanto passivamente como ativamente; • Planejar os métodos para coletar e analisar as informações obtidas de maneira passiva ou ativa; • Detectar potências brechas de segurança, seja enumerando informações, coletando detalhes de portas, versõese serviço do alvo; • Realizar os testes efetuando a exploração e a pós exploração; • Analisar os resultados e gerar um relatório; • Testar a efetividade das remediações;
- 11. QUAL É ANECESSIDADE DE UM PENTEST? • Identificaras ameaçase determinara probabilidadeda sua organizaçãosofrer um ataque; • O Pentest vai prover o nível de maturidadee aceitaçãode risco da sua organização; • Entender os principaisvetores de ataque e seu impacto no negócio; • Auxiliarno passo a passo na prevençãode vulnerabilidades; • Compliancecom regulamentaçõese padrões (ISO 27001, PCI-DSS, LGPD, etc); • Avaliara eficiênciade dispositivosde segurança da sua rede (Firewalls, IDS, IPS, etc.);
- 12. ANALISE DE VULNERABILIDADEVS PENTEST • Quando a gente fala de PenTest e Analise de vulnerabilidade,ambossão tarefas diferentes; • Enquantoa analise e avaliaçãode vulnerabilidadetem como objetivolevantar todos os riscos, ameaçase vulnerabilidades da sua organização eauxiliarno gerenciamentodos mesmos; • O PenTest ele tem com o objetivo,explorar as vulnerabilidadesdo ambientee determinaro grau de risco e impacto que um invasãopode causar em uma organização;
- 13. INICIANDO SUA CARREIRAEM PENTEST
- 14. • As certificaçõessão essências, seja para o mercado de trabalho, como para desenvolver suas habilidades também; • Hoje elas são consideradas pré-requisitospara atuar na área de segurança da informação, principalmente com PenTest; • Muitas empresas exigem profissionais certificados, muitos desses fatores envolve não só conhecimento, mas compliance com alguns pré-requisitosexigidos em Frameworks e diretrizes de segurança; CERTIFICAÇÕES
- 15. MERCADO DE TRABALHOPARA PENTESTERS • Existe uma boa demanda por profissionais de PenTest, porém muitos se enquadram na nomenclatura Red Team, aonde você vai além dos testes de invasão, mas foca em gerenciar todo tipo de vulnerabilidade e auxiliar o time de defesa (blue team) na validação e implementação dos melhores controles; • Atualmente as vagas de PenTest requer que o profissional tenha conhecimentos em Gestão de Vulnerabilidades, Riscos e conhecimentos de Blue Team; • Além disso, o relatório é essencial! Tanto relatórios técnicos como gerenciais;
- 16. LABORATÓRIOS DE PENTEST •Os laboratórios de PenTest são essências para desenvolver suas habilidades e adquirir mais conhecimento; • E atualmente existem três ótimos laboratórios no estilo CTF (Capture the Flag) para aprimorar suas habilidades; https://www.vulnhub.com/entry/bizarre-adventure-mrr3b0t,561
- 17.
- 18. CONCLUSÃO: DICAS ETRUQUES Sempre fique por dentro de novos métodos de ataque; Pratique bastanteem laboratórios e CTFs; Assistapalestras, webinars e dê uma olhada nos conteúdos de outros profissionais; Interaja com a comunidade e troque conhecimento; Junte a teoria com a prática; Pense sempre fora da caixa, seja um Try Harder; Desenvolvasuas próprias ferramentas e seus laboratórios; Se aprofunde em frameworks e metodologias de Segurança Ofensiva, Ex: Mitre Attack;
- 19.