Baixado 16 vezes
Carregado porDenny Vriesman
IC-Testes Invasao
O documento discute a integração de testes de invasão nos processos de desenvolvimento contínuo (CI/CD) através da abordagem SecDevOps. Ele apresenta ferramentas como ZAP, Arachni e ThreadFix que podem ser usadas para automatizar testes de segurança e consolidar resultados de múltiplas ferramentas. A integração dessas ferramentas com Jenkins é destacada como forma de realizar testes de segurança como parte dos builds noturnos.
IC-Testes Invasao
- 1. Globalcode – Open4education IntegraçãoContinua com Testes de Invasão Denny Richard San Vriesman DevOps Engineer
- 2. Globalcode – Open4education Sobremim Denny Richard San Vriesman 9+ anos na -OCAJP, OCPPJ -Java Developer, Software Architect, -Devops and Cloud Engineer -O mais legal: programou em BASIC num Apple II, num MSX e num TK2000 em 1989. Let’s go
- 3. Globalcode – Open4education Agenda Segurançaem foco Abraçando a segurança Kit básico de ferramentas Consolidando resultados Conclusões
- 4.
- 5. Globalcode – Open4education Algumasinseguranças
- 6. Globalcode – Open4education Algumasinseguranças
- 7. Globalcode – Open4education Algumasinseguranças
- 8. Globalcode – Open4education Abraçandoa segurança
- 9. Globalcode – Open4education DevOps– CI / CD
- 10. Globalcode – Open4education Pentest 1.Coletar Informações 2. Mapeamento de Rede 3. Enumeração de Serviços 4. Busca de Vulnerabilidade 5. Exploração das Vulnerabilidade 6. Implantação de Backdoors e Rootkits 7. Eliminação de Vestígios
- 11. Globalcode – Open4education Abraçandoa segurança Sec + DevOps =
- 12. Globalcode – Open4education SecDevOps •Melhores práticas que ajudam as organizações a implantar código seguro • Automatização de testes de invasão (pentests) • Herda conceitos essenciais DevOps: • Falhar o quanto antes • Reparar rapidamente • https://www.reddit.com/r/secdevops/
- 13. Globalcode – Open4education SecDevOps Avaliação deRisco UX Security Capacitação, Peer Code Review CI com Testes de Invasão Monitoração , Logs, Respostas a Incidentes SecDevOps
- 14. Globalcode – Open4education Algunstipos de testes Testes de Segurança Funcionais Scan da Aplicação e Infra-estrutura Testes de Segurança da lógica da aplicação Autenticação Autorização Consigo interceptar uma requisição, diminuindo o valor de uma compra? Vulnerabilidades identificadas por ferramentas de Scan Consigo fazer uma transferências para uma conta com valor negativo?
- 15. Globalcode – Open4education KitBásico de Ferramentas
- 16. Globalcode – Open4education ZedAttack Proxy • OWASP Top 10 • Pode rodar como Daemon • REST-API • CLI • Pode ser scriptado
- 17. Globalcode – Open4education ZAP+ Jenkins • Permite fazermos um scan. • Simples: Aponte para a URL a ser testada. • Gera relatórios no JOB em HTML e/ou XML. • Recomenda-se o uso no Build Noturno. • Cada JOB deve ser configurado com um porta Proxy diferente para habilitar a execução paralela.
- 18. Globalcode – Open4education ZAProxyJenkins Plugin
- 19. Globalcode – Open4education ZAProxyJenkins Plugin
- 20. Globalcode – Open4education ZAProxyJenkins Plugin
- 21.
- 22.
- 23. Globalcode – Open4education WebApp Security Scanner • Ideal para aplicações com muitos JavaScripts, SPA • Entende DOM, Jquery e Angular. • Scan Passivo/Ativo • Relatórios em XML / HTML / JSON
- 24. Globalcode – Open4education Arachni+ Jenkins • CLI ou RPC ou REST • Copiar relatórios no Workspace do Job • Build Noturno
- 25. Globalcode – Open4education Arachnicommand line
- 26.
- 27.
- 28. Globalcode – Open4education •Framework para testes não-funcionais e funcionais de segurança • Usa Jbehave e Selenium para as estórias e fluxo de navegação • Usa ZAP como Scanner Default (pode usar outros). • Scan de Infraestrutura com Nessus. • Testes de WebServices • Suporte a autenticação com Tokens. • Conjunto de estórias pré-definidas
- 29.
- 30. Globalcode – Open4education KitBásico de Ferramentas • Execução de um projeto Maven • Jbehave Plugin • Jenkins HTML Publisher + Jenkins
- 31. Globalcode – Open4education JenkinsTest Result
- 32. Globalcode – Open4education JenkinsHTML Publish
- 33. Globalcode – Open4education OutrasFerramentas
- 34. Globalcode – Open4education Consolidandoresultados
- 35. Globalcode – Open4education Consolidandoresultados Cada ferramenta gera seus relatórios em formatos proprietários Como eliminar resultados repetidos entre as diversas ferramentas ? Como realizar análises e identificar tendências?
- 36. Globalcode – Open4education Maisuma ferramenta
- 37. Globalcode – Open4education •Consolidação e análise de dados, inclusive tendência. • Open Source Community vs Enterprise • Normaliza resultado de várias ferramentas: • IBM AppScan • ZAP Proxy • Arachni • HPE Security WebSpec • Accunetix • FindBugs • W3af • Etc.... (várias outras)
- 38. Globalcode – Open4education +Jenkins • CLI ou REST API • Possui plugin para o Jenkins
- 39.
- 40.
- 41. Globalcode – Open4education Conclusões SecDevOps Automação DevOpsjá está em nosso dia-a-dia. SecDevOps é o próximo passo! Já existem várias ferramentas pentesters que podem ser facilmente integradas aos builds, através de plugins. Qualquer ferramentas pode ser chamada via linha de comando nos builds. Devemos normalizar os dados para análise. Vamos deixar esse Lammer mostrar que é hacker de verdade. The end
- 42. Globalcode – Open4education OBRIGADO DennyRichard San Vriesman dvriesman@gmail.com https://br.linkedin.com/in/dvriesman
Notas do Editor
- #4 Por que esse papo ? Como os DevOps devem abraçar a segurança.
- #6 Verme, warm, sequestro de dados, recompensa, bitcoin
- #7 220 milhoes de habitantes tem o Brasil.
- #8 Sony vazou, dados de funcionários, folha de pagamento, Fury, protagonizado por Brad Pitt; foi baixado mais de 1 milhão de vezes em 3 dias Como vingança contra o longa-metragem, que faz piada com o regime da Coreia do Norte = A Entrevista.
- #9 Perguntar se alguém viu as palestras do Branas Web Security de ontem.
- #11 CEH, Offensive Security, Hacker Academy,
- #16 Uns 15 a 20 min até aqui.
- #34 Metasploit resource, payload, exploits, JBOSS Modules, Tomcat modules, windows, linux vulnerabilities, app specific.
- #35 Chegando aqui entre 35 e 40.