SlideShare uma empresa Scribd logo
Técnicas e Ferramentas para
Auditorias Testes de Invasão




          Rafael Soares Ferreira
          Sócio Diretor
          Clavis Segurança da Informação
          rafael@clavis.com.br
$ whoami

•  Sócio Diretor do Grupo Clavis
•  Auditor de Segurança
•  Instrutor e Palestrante
•  Áreas de interesse:
Análise forense computacional;
Detecção e resposta a incidentes de segurança;
Testes de invasão em redes, sistemas e aplicações.
Conceitos



l    Atividade técnica controlada

l    Teste de segurança

l    Simulação de ataques

 Tentativas de obtenção de acesso não autorizado a ativos
l 

de informação
Justificativa e Motivação

 Avaliar os riscos e vulnerabilidades reais presentes no seu
l 

negócio

• Determinar se os investimentos atuais estão realmente
detectando e prevenindo ataques

• Conformidade com normas internacionais

• Milestone para projetos entrarem ou não em produção
(“go live”)
PenTest X Ataque Real


l    Metodologia
l    Documentação
l    Preocupação com o Cliente
l    Limitações
l    Autorização documentada
l    Integridade
Planejamento e Preparação

l    Detalhes da Infraestrutura           	
  
                                           	
  
l    Acordo de confidencialidade (NDA)    	
  
                                           	
  
l    Equipamento e recursos necessários   	
  

l    Relatório de linha do tempo
l    Acesso a testes anteriores
l    Inspeção física
l    Tratamento de questões especiais
l    Limitações de Tempo
Planejamento e Preparação



l    Objetivo/Propósito
l    Alvos
l    Profundidade
l    Exclusões
Tipos de Teste

>> O que você sabe sobre o ambiente?
              Blind (caixa preta)

              Open (caixa branca)




>> O que o ambiente sabe sobre você?

              Teste anunciado

              Teste Não-anunciado
Etapas de um PenTest



  •  Obtenção	
  de	
  Informações	
  e	
  Mapeamento	
  

  •  Iden4ficação	
  de	
  Vulnerabilidades	
  

  •  Análise	
  e	
  Exploração	
  

  	
  
Obtenção de Informações
e Mapeamento


   Nmap	
  
   Iden4fica	
  hosts	
  vivos,	
  estado	
  de	
  portas,	
  serviços	
  e	
  sistemas	
  
   operacionais	
  
   	
  
   Xprobe	
  
   Fingerprint	
  de	
  sistemas	
  operacionais	
  
   	
  
   P0f	
  
   Iden4ficação	
  passiva	
  de	
  SO	
  
Identificação de Vulnerabilidades




   NESSUS	
  Professional	
  Edi4on	
  
   Iden4fica	
  Vulnerabildiades	
  em	
  sistemas,	
  serviçoes	
  e	
  
   aplicações.	
  
   	
  
   QualysGuard	
  
   Iden4fica	
  vulnerabilidades,	
  correções	
  pendentes	
  e	
  
   existência	
  de	
  exploits	
  públicos	
  para	
  tais	
  vulnerabilidades.	
  
Identificação de Vulnerabilidades



   w3af	
  
   Verifica	
  a	
  possibilidade	
  de	
  execução	
  de	
  ataques	
  do	
  4po	
  
   injeção	
  de	
  SQL,	
  cross	
  site	
  scrip4ng	
  (XSS),	
  inclusão	
  de	
  
   arquivos	
  locais	
  e	
  remotos,	
  entre	
  outros.	
  
   	
  
   	
  
   Nikto	
  
   Verifica	
  a	
  existência	
  de	
  versões	
  desatualizadas,	
  problemas	
  
   em	
  versões	
  específicas	
  e	
  ítens	
  de	
  configuração	
  do	
  servidor.	
  
Análise e Exploração




   Metasploit	
  Framework	
  /	
  Express	
  /	
  Pro	
  
   Relaciona	
  Vulnerabilidades	
  descobertas	
  com	
  uma	
  base	
  de	
  
   exploits	
  e	
  faz	
  tenta4vas	
  de	
  invasão.	
  
   	
  
   Sqlmap	
  
   Avalia	
  a	
  possibilidade	
  de	
  injeções	
  em	
  aplicações	
  e	
  uiliza	
  o	
  
   padrões	
  de	
  resposta	
  para	
  mapear	
  versões	
  de	
  banco.	
  
Análise e Exploração



   Webscarab	
  /	
  Paros	
  /	
  BurpSuite	
  
   Intercepta	
  requisições	
  para	
  manipular	
  campos	
  e	
  parâmetros	
  
   burlando	
  controles	
  client	
  side	
  e	
  forjando	
  requisições	
  
   inválidas.	
  
   	
  
   LOIC	
  /	
  Hping	
  /T50	
  
   Fazem	
  ataques	
  de	
  Negação	
  de	
  Serviço	
  
   	
  
   John	
  the	
  ripper	
  /	
  Hydra	
  
   Efetua	
  ataques	
  de	
  Força	
  Bruta	
  
Análise e Exploração




   Wireshark	
  /	
  TCPdump	
  /	
  Edercap	
  /	
  Dsniff	
  	
  
   Verifica	
  se	
  é	
  possível	
  iden4ficar	
  e	
  obter	
  informações	
  
   sensíveis	
  através	
  da	
  manipulação	
  de	
  tráfego	
  de	
  rede	
  
   	
  
   Aircrack-­‐ng	
  /	
  Kismet	
  
   Avalia	
  exposição	
  de	
  dados	
  e	
  configurações	
  em	
  redes	
  sem	
  fio	
  
Modelos e Referências

>> OWASP
Open Web Application Security Project

>> OSSTMM
Open Source Security Testing Methodology Manual

>> NIST 800.42
Guideline on Network Security Testing

>> ISSAF
Information Systems Security Assessment Framework
Dúvidas?

           Perguntas?
            Críticas?
           Sugestões?
Muito Obrigado!

       rafael@clavis.com.br

       @rafaelsferreira


   Rafael Soares Ferreira
   Sócio Diretor
   Clavis Segurança da Informação

Mais conteúdo relacionado

Mais procurados

Aprendendo a atacar (e proteger) aplicações web através de jogos de guerra
Aprendendo a atacar (e proteger) aplicações web através de jogos de guerraAprendendo a atacar (e proteger) aplicações web através de jogos de guerra
Aprendendo a atacar (e proteger) aplicações web através de jogos de guerra
Clavis Segurança da Informação
 
Manobras Evasivas: Técnicas de Evasão para Varreduras com o Nmap
Manobras Evasivas: Técnicas de Evasão para Varreduras com o NmapManobras Evasivas: Técnicas de Evasão para Varreduras com o Nmap
Manobras Evasivas: Técnicas de Evasão para Varreduras com o Nmap
Clavis Segurança da Informação
 
Clavis e Cyberark promovem almoço para sobre soluções para a área de Seguranç...
Clavis e Cyberark promovem almoço para sobre soluções para a área de Seguranç...Clavis e Cyberark promovem almoço para sobre soluções para a área de Seguranç...
Clavis e Cyberark promovem almoço para sobre soluções para a área de Seguranç...
Clavis Segurança da Informação
 
Teste seguranca aplicacoes web security testing
Teste seguranca aplicacoes web security testingTeste seguranca aplicacoes web security testing
Teste seguranca aplicacoes web security testing
Cristiano Caetano
 
Segurança em Aplicações Web
Segurança em Aplicações WebSegurança em Aplicações Web
Segurança em Aplicações Web
Cassio Ramos
 
Segurança em aplicações web: pequenas ideias, grandes resultados
Segurança em aplicações web: pequenas ideias, grandes resultadosSegurança em aplicações web: pequenas ideias, grandes resultados
Segurança em aplicações web: pequenas ideias, grandes resultados
Alex Camargo
 
Analisando eventos de forma inteligente para detecção de intrusos usando ELK
Analisando eventos de forma inteligente para detecção de intrusos usando ELKAnalisando eventos de forma inteligente para detecção de intrusos usando ELK
Analisando eventos de forma inteligente para detecção de intrusos usando ELK
SegInfo
 
Webinar # 21 – Análise Forense de Redes
 Webinar # 21 – Análise Forense de Redes Webinar # 21 – Análise Forense de Redes
Webinar # 21 – Análise Forense de Redes
Clavis Segurança da Informação
 
Testes de Invasão ajudam a alcançar a conformidade - Segurança da Informação
Testes de Invasão ajudam a alcançar a conformidade - Segurança da InformaçãoTestes de Invasão ajudam a alcançar a conformidade - Segurança da Informação
Testes de Invasão ajudam a alcançar a conformidade - Segurança da Informação
Clavis Segurança da Informação
 
Segurança em Aplicações Web conforme OWASP
Segurança em Aplicações Web conforme OWASPSegurança em Aplicações Web conforme OWASP
Segurança em Aplicações Web conforme OWASP
Fabiano Pereira
 
Testes de segurança em aplicações web
Testes de segurança em aplicações webTestes de segurança em aplicações web
Testes de segurança em aplicações web
Synergia - Engenharia de Software e Sistemas
 
Aula 05 - Curso GRATUITO EAD de Desenvolvimento Seguro de Software com Alcyon...
Aula 05 - Curso GRATUITO EAD de Desenvolvimento Seguro de Software com Alcyon...Aula 05 - Curso GRATUITO EAD de Desenvolvimento Seguro de Software com Alcyon...
Aula 05 - Curso GRATUITO EAD de Desenvolvimento Seguro de Software com Alcyon...
Alcyon Ferreira de Souza Junior, MSc
 
Analysis of vulnerabilities in web applications - LinuxCon Brazil 2010
Analysis of vulnerabilities in web applications - LinuxCon Brazil 2010Analysis of vulnerabilities in web applications - LinuxCon Brazil 2010
Analysis of vulnerabilities in web applications - LinuxCon Brazil 2010
Luiz Vieira .´. CISSP, OSCE, GXPN, CEH
 
Como começar na área de PenTest - Womcy Security Day Fatec
Como começar na área de PenTest - Womcy Security Day FatecComo começar na área de PenTest - Womcy Security Day Fatec
Como começar na área de PenTest - Womcy Security Day Fatec
Joas Antonio dos Santos
 
Big Data e Segurança da Informação - 10o Workshop SegInfo - Apresentação
Big Data e Segurança da Informação - 10o Workshop SegInfo - ApresentaçãoBig Data e Segurança da Informação - 10o Workshop SegInfo - Apresentação
Big Data e Segurança da Informação - 10o Workshop SegInfo - Apresentação
Clavis Segurança da Informação
 
Ameacas e Vulnerabilidades em Apps Web-2013
Ameacas e Vulnerabilidades em Apps Web-2013Ameacas e Vulnerabilidades em Apps Web-2013
Ameacas e Vulnerabilidades em Apps Web-2013
Kleitor Franklint Correa Araujo
 
Aula 03 - Curso GRATUITO EAD de Desenvolvimento Seguro de Software com Alcyon...
Aula 03 - Curso GRATUITO EAD de Desenvolvimento Seguro de Software com Alcyon...Aula 03 - Curso GRATUITO EAD de Desenvolvimento Seguro de Software com Alcyon...
Aula 03 - Curso GRATUITO EAD de Desenvolvimento Seguro de Software com Alcyon...
Alcyon Ferreira de Souza Junior, MSc
 
Projeto de Avaliação de Segurança de TI
Projeto de Avaliação de Segurança de TIProjeto de Avaliação de Segurança de TI
Projeto de Avaliação de Segurança de TI
Messias Dias Teixeira
 
Dica 02 - Como mitigar os ataques de SQL Injection em aplicações WEB
Dica 02 - Como mitigar os ataques de SQL Injection em aplicações WEBDica 02 - Como mitigar os ataques de SQL Injection em aplicações WEB
Dica 02 - Como mitigar os ataques de SQL Injection em aplicações WEB
Alcyon Ferreira de Souza Junior, MSc
 
Aula 01 - Curso GRATUITO EAD de Desenvolvimento Seguro de Software com Alcyon...
Aula 01 - Curso GRATUITO EAD de Desenvolvimento Seguro de Software com Alcyon...Aula 01 - Curso GRATUITO EAD de Desenvolvimento Seguro de Software com Alcyon...
Aula 01 - Curso GRATUITO EAD de Desenvolvimento Seguro de Software com Alcyon...
Alcyon Ferreira de Souza Junior, MSc
 

Mais procurados (20)

Aprendendo a atacar (e proteger) aplicações web através de jogos de guerra
Aprendendo a atacar (e proteger) aplicações web através de jogos de guerraAprendendo a atacar (e proteger) aplicações web através de jogos de guerra
Aprendendo a atacar (e proteger) aplicações web através de jogos de guerra
 
Manobras Evasivas: Técnicas de Evasão para Varreduras com o Nmap
Manobras Evasivas: Técnicas de Evasão para Varreduras com o NmapManobras Evasivas: Técnicas de Evasão para Varreduras com o Nmap
Manobras Evasivas: Técnicas de Evasão para Varreduras com o Nmap
 
Clavis e Cyberark promovem almoço para sobre soluções para a área de Seguranç...
Clavis e Cyberark promovem almoço para sobre soluções para a área de Seguranç...Clavis e Cyberark promovem almoço para sobre soluções para a área de Seguranç...
Clavis e Cyberark promovem almoço para sobre soluções para a área de Seguranç...
 
Teste seguranca aplicacoes web security testing
Teste seguranca aplicacoes web security testingTeste seguranca aplicacoes web security testing
Teste seguranca aplicacoes web security testing
 
Segurança em Aplicações Web
Segurança em Aplicações WebSegurança em Aplicações Web
Segurança em Aplicações Web
 
Segurança em aplicações web: pequenas ideias, grandes resultados
Segurança em aplicações web: pequenas ideias, grandes resultadosSegurança em aplicações web: pequenas ideias, grandes resultados
Segurança em aplicações web: pequenas ideias, grandes resultados
 
Analisando eventos de forma inteligente para detecção de intrusos usando ELK
Analisando eventos de forma inteligente para detecção de intrusos usando ELKAnalisando eventos de forma inteligente para detecção de intrusos usando ELK
Analisando eventos de forma inteligente para detecção de intrusos usando ELK
 
Webinar # 21 – Análise Forense de Redes
 Webinar # 21 – Análise Forense de Redes Webinar # 21 – Análise Forense de Redes
Webinar # 21 – Análise Forense de Redes
 
Testes de Invasão ajudam a alcançar a conformidade - Segurança da Informação
Testes de Invasão ajudam a alcançar a conformidade - Segurança da InformaçãoTestes de Invasão ajudam a alcançar a conformidade - Segurança da Informação
Testes de Invasão ajudam a alcançar a conformidade - Segurança da Informação
 
Segurança em Aplicações Web conforme OWASP
Segurança em Aplicações Web conforme OWASPSegurança em Aplicações Web conforme OWASP
Segurança em Aplicações Web conforme OWASP
 
Testes de segurança em aplicações web
Testes de segurança em aplicações webTestes de segurança em aplicações web
Testes de segurança em aplicações web
 
Aula 05 - Curso GRATUITO EAD de Desenvolvimento Seguro de Software com Alcyon...
Aula 05 - Curso GRATUITO EAD de Desenvolvimento Seguro de Software com Alcyon...Aula 05 - Curso GRATUITO EAD de Desenvolvimento Seguro de Software com Alcyon...
Aula 05 - Curso GRATUITO EAD de Desenvolvimento Seguro de Software com Alcyon...
 
Analysis of vulnerabilities in web applications - LinuxCon Brazil 2010
Analysis of vulnerabilities in web applications - LinuxCon Brazil 2010Analysis of vulnerabilities in web applications - LinuxCon Brazil 2010
Analysis of vulnerabilities in web applications - LinuxCon Brazil 2010
 
Como começar na área de PenTest - Womcy Security Day Fatec
Como começar na área de PenTest - Womcy Security Day FatecComo começar na área de PenTest - Womcy Security Day Fatec
Como começar na área de PenTest - Womcy Security Day Fatec
 
Big Data e Segurança da Informação - 10o Workshop SegInfo - Apresentação
Big Data e Segurança da Informação - 10o Workshop SegInfo - ApresentaçãoBig Data e Segurança da Informação - 10o Workshop SegInfo - Apresentação
Big Data e Segurança da Informação - 10o Workshop SegInfo - Apresentação
 
Ameacas e Vulnerabilidades em Apps Web-2013
Ameacas e Vulnerabilidades em Apps Web-2013Ameacas e Vulnerabilidades em Apps Web-2013
Ameacas e Vulnerabilidades em Apps Web-2013
 
Aula 03 - Curso GRATUITO EAD de Desenvolvimento Seguro de Software com Alcyon...
Aula 03 - Curso GRATUITO EAD de Desenvolvimento Seguro de Software com Alcyon...Aula 03 - Curso GRATUITO EAD de Desenvolvimento Seguro de Software com Alcyon...
Aula 03 - Curso GRATUITO EAD de Desenvolvimento Seguro de Software com Alcyon...
 
Projeto de Avaliação de Segurança de TI
Projeto de Avaliação de Segurança de TIProjeto de Avaliação de Segurança de TI
Projeto de Avaliação de Segurança de TI
 
Dica 02 - Como mitigar os ataques de SQL Injection em aplicações WEB
Dica 02 - Como mitigar os ataques de SQL Injection em aplicações WEBDica 02 - Como mitigar os ataques de SQL Injection em aplicações WEB
Dica 02 - Como mitigar os ataques de SQL Injection em aplicações WEB
 
Aula 01 - Curso GRATUITO EAD de Desenvolvimento Seguro de Software com Alcyon...
Aula 01 - Curso GRATUITO EAD de Desenvolvimento Seguro de Software com Alcyon...Aula 01 - Curso GRATUITO EAD de Desenvolvimento Seguro de Software com Alcyon...
Aula 01 - Curso GRATUITO EAD de Desenvolvimento Seguro de Software com Alcyon...
 

Destaque

teste de invasão
teste de invasãoteste de invasão
Técnicas de Invasão - INFOESTE 2015
Técnicas de Invasão - INFOESTE 2015Técnicas de Invasão - INFOESTE 2015
Técnicas de Invasão - INFOESTE 2015
C H
 
Ataques MITM a aplicativos android: abusando da confiança dos desenvolvedores
Ataques MITM a aplicativos android: abusando da confiança dos desenvolvedoresAtaques MITM a aplicativos android: abusando da confiança dos desenvolvedores
Ataques MITM a aplicativos android: abusando da confiança dos desenvolvedores
ivanjokerbr
 
Pen Test, Afinal o que é ? - FLISOL 2010
Pen Test, Afinal o que é ? - FLISOL 2010Pen Test, Afinal o que é ? - FLISOL 2010
Pen Test, Afinal o que é ? - FLISOL 2010
Paulo Renato Lopes Seixas
 
Invasão e Segurança
Invasão e SegurançaInvasão e Segurança
Invasão e Segurança
Carlos Henrique Martins da Silva
 
Palestra em parceria com o @cefet_rj – Auditoria Teste de Invasão em Aplicações
Palestra em parceria com o @cefet_rj – Auditoria Teste de Invasão em AplicaçõesPalestra em parceria com o @cefet_rj – Auditoria Teste de Invasão em Aplicações
Palestra em parceria com o @cefet_rj – Auditoria Teste de Invasão em Aplicações
Clavis Segurança da Informação
 
Webinar #27 - Curso Permanente ComPTIA Security+ Exame SY0 401
Webinar #27 - Curso Permanente ComPTIA Security+ Exame SY0 401Webinar #27 - Curso Permanente ComPTIA Security+ Exame SY0 401
Webinar #27 - Curso Permanente ComPTIA Security+ Exame SY0 401
Clavis Segurança da Informação
 
Adoção do PCI no Brasil - 10o Workshop SegInfo - Apresentação
Adoção do PCI no Brasil - 10o Workshop SegInfo - ApresentaçãoAdoção do PCI no Brasil - 10o Workshop SegInfo - Apresentação
Adoção do PCI no Brasil - 10o Workshop SegInfo - Apresentação
Clavis Segurança da Informação
 
A maldição do local admin - 10o Workshop SegInfo - Apresentação
A maldição do local admin - 10o Workshop SegInfo - ApresentaçãoA maldição do local admin - 10o Workshop SegInfo - Apresentação
A maldição do local admin - 10o Workshop SegInfo - Apresentação
Clavis Segurança da Informação
 
Palestra Auditoria de Segurança em Redes sem Fio
Palestra Auditoria de Segurança em Redes sem FioPalestra Auditoria de Segurança em Redes sem Fio
Palestra Auditoria de Segurança em Redes sem Fio
Clavis Segurança da Informação
 
NSM (Network Security Monitoring) - Tecland Chapeco
NSM (Network Security Monitoring) - Tecland ChapecoNSM (Network Security Monitoring) - Tecland Chapeco
NSM (Network Security Monitoring) - Tecland Chapeco
Rodrigo Montoro
 
SEMINÁRIO INTERNACIONAL DE SEGURANÇA E DEFESA CIBERNÉTICA
SEMINÁRIO INTERNACIONAL DE SEGURANÇA E DEFESA CIBERNÉTICASEMINÁRIO INTERNACIONAL DE SEGURANÇA E DEFESA CIBERNÉTICA
SEMINÁRIO INTERNACIONAL DE SEGURANÇA E DEFESA CIBERNÉTICA
Clavis Segurança da Informação
 
Slides Webinar #9 As provas e as Evidências na Investigação dos Crimes Inform...
Slides Webinar #9 As provas e as Evidências na Investigação dos Crimes Inform...Slides Webinar #9 As provas e as Evidências na Investigação dos Crimes Inform...
Slides Webinar #9 As provas e as Evidências na Investigação dos Crimes Inform...
Clavis Segurança da Informação
 
Webinar #18 – A Nova Lei de Cibercrimes
Webinar #18 – A Nova Lei de CibercrimesWebinar #18 – A Nova Lei de Cibercrimes
Webinar #18 – A Nova Lei de Cibercrimes
Clavis Segurança da Informação
 
Entendendo como as Mídias Socias Revolucionaram os Ataques de Força Bruta
Entendendo como as Mídias Socias Revolucionaram os Ataques de Força BrutaEntendendo como as Mídias Socias Revolucionaram os Ataques de Força Bruta
Entendendo como as Mídias Socias Revolucionaram os Ataques de Força Bruta
Clavis Segurança da Informação
 
Webinar # 16 – Ataques de Força Bruta – Método Dicionário, Híbridos e Rainbow...
Webinar # 16 – Ataques de Força Bruta – Método Dicionário, Híbridos e Rainbow...Webinar # 16 – Ataques de Força Bruta – Método Dicionário, Híbridos e Rainbow...
Webinar # 16 – Ataques de Força Bruta – Método Dicionário, Híbridos e Rainbow...
Clavis Segurança da Informação
 
Kali Linux
Kali LinuxKali Linux
Kali Linux
Chanchal Dabriya
 

Destaque (17)

teste de invasão
teste de invasãoteste de invasão
teste de invasão
 
Técnicas de Invasão - INFOESTE 2015
Técnicas de Invasão - INFOESTE 2015Técnicas de Invasão - INFOESTE 2015
Técnicas de Invasão - INFOESTE 2015
 
Ataques MITM a aplicativos android: abusando da confiança dos desenvolvedores
Ataques MITM a aplicativos android: abusando da confiança dos desenvolvedoresAtaques MITM a aplicativos android: abusando da confiança dos desenvolvedores
Ataques MITM a aplicativos android: abusando da confiança dos desenvolvedores
 
Pen Test, Afinal o que é ? - FLISOL 2010
Pen Test, Afinal o que é ? - FLISOL 2010Pen Test, Afinal o que é ? - FLISOL 2010
Pen Test, Afinal o que é ? - FLISOL 2010
 
Invasão e Segurança
Invasão e SegurançaInvasão e Segurança
Invasão e Segurança
 
Palestra em parceria com o @cefet_rj – Auditoria Teste de Invasão em Aplicações
Palestra em parceria com o @cefet_rj – Auditoria Teste de Invasão em AplicaçõesPalestra em parceria com o @cefet_rj – Auditoria Teste de Invasão em Aplicações
Palestra em parceria com o @cefet_rj – Auditoria Teste de Invasão em Aplicações
 
Webinar #27 - Curso Permanente ComPTIA Security+ Exame SY0 401
Webinar #27 - Curso Permanente ComPTIA Security+ Exame SY0 401Webinar #27 - Curso Permanente ComPTIA Security+ Exame SY0 401
Webinar #27 - Curso Permanente ComPTIA Security+ Exame SY0 401
 
Adoção do PCI no Brasil - 10o Workshop SegInfo - Apresentação
Adoção do PCI no Brasil - 10o Workshop SegInfo - ApresentaçãoAdoção do PCI no Brasil - 10o Workshop SegInfo - Apresentação
Adoção do PCI no Brasil - 10o Workshop SegInfo - Apresentação
 
A maldição do local admin - 10o Workshop SegInfo - Apresentação
A maldição do local admin - 10o Workshop SegInfo - ApresentaçãoA maldição do local admin - 10o Workshop SegInfo - Apresentação
A maldição do local admin - 10o Workshop SegInfo - Apresentação
 
Palestra Auditoria de Segurança em Redes sem Fio
Palestra Auditoria de Segurança em Redes sem FioPalestra Auditoria de Segurança em Redes sem Fio
Palestra Auditoria de Segurança em Redes sem Fio
 
NSM (Network Security Monitoring) - Tecland Chapeco
NSM (Network Security Monitoring) - Tecland ChapecoNSM (Network Security Monitoring) - Tecland Chapeco
NSM (Network Security Monitoring) - Tecland Chapeco
 
SEMINÁRIO INTERNACIONAL DE SEGURANÇA E DEFESA CIBERNÉTICA
SEMINÁRIO INTERNACIONAL DE SEGURANÇA E DEFESA CIBERNÉTICASEMINÁRIO INTERNACIONAL DE SEGURANÇA E DEFESA CIBERNÉTICA
SEMINÁRIO INTERNACIONAL DE SEGURANÇA E DEFESA CIBERNÉTICA
 
Slides Webinar #9 As provas e as Evidências na Investigação dos Crimes Inform...
Slides Webinar #9 As provas e as Evidências na Investigação dos Crimes Inform...Slides Webinar #9 As provas e as Evidências na Investigação dos Crimes Inform...
Slides Webinar #9 As provas e as Evidências na Investigação dos Crimes Inform...
 
Webinar #18 – A Nova Lei de Cibercrimes
Webinar #18 – A Nova Lei de CibercrimesWebinar #18 – A Nova Lei de Cibercrimes
Webinar #18 – A Nova Lei de Cibercrimes
 
Entendendo como as Mídias Socias Revolucionaram os Ataques de Força Bruta
Entendendo como as Mídias Socias Revolucionaram os Ataques de Força BrutaEntendendo como as Mídias Socias Revolucionaram os Ataques de Força Bruta
Entendendo como as Mídias Socias Revolucionaram os Ataques de Força Bruta
 
Webinar # 16 – Ataques de Força Bruta – Método Dicionário, Híbridos e Rainbow...
Webinar # 16 – Ataques de Força Bruta – Método Dicionário, Híbridos e Rainbow...Webinar # 16 – Ataques de Força Bruta – Método Dicionário, Híbridos e Rainbow...
Webinar # 16 – Ataques de Força Bruta – Método Dicionário, Híbridos e Rainbow...
 
Kali Linux
Kali LinuxKali Linux
Kali Linux
 

Semelhante a "Técnicas e Ferramentas para Auditorias Testes de Invasão"

CNASI Cyber, Forense e CISSP
CNASI Cyber, Forense e CISSPCNASI Cyber, Forense e CISSP
CNASI Cyber, Forense e CISSP
Carlos Eduardo Motta de Castro
 
Pentest
Pentest Pentest
Introdução de teste de segurança app web
Introdução de teste de segurança app webIntrodução de teste de segurança app web
Introdução de teste de segurança app web
Kleitor Franklint Correa Araujo
 
Ethical Hacking - Campus Party Brasília 2017
Ethical Hacking - Campus Party Brasília 2017Ethical Hacking - Campus Party Brasília 2017
Ethical Hacking - Campus Party Brasília 2017
Alcyon Ferreira de Souza Junior, MSc
 
Segurança da informação
Segurança da informaçãoSegurança da informação
Segurança da informação
Samantha Nunes
 
2011 01-18.campus party 2011
2011 01-18.campus party 20112011 01-18.campus party 2011
2011 01-18.campus party 2011
Campus Party Brasil
 
Iscte security events workshop multicert-pt2
Iscte security events workshop   multicert-pt2Iscte security events workshop   multicert-pt2
Iscte security events workshop multicert-pt2
ISCTE-IUL ACM Student Chapter
 
Ferramentas livres para teste de invasao
Ferramentas livres para teste de invasao Ferramentas livres para teste de invasao
Ferramentas livres para teste de invasao
gleydsonslim
 
201108 sandro süffert - desafios em forense computacional e resposta a incide...
201108 sandro süffert - desafios em forense computacional e resposta a incide...201108 sandro süffert - desafios em forense computacional e resposta a incide...
201108 sandro süffert - desafios em forense computacional e resposta a incide...
Sandro Suffert
 
"Desafios em Computação Forense e Resposta a Incidentes de Segurança"?
"Desafios em Computação Forense e Resposta a Incidentes de Segurança"?"Desafios em Computação Forense e Resposta a Incidentes de Segurança"?
"Desafios em Computação Forense e Resposta a Incidentes de Segurança"?
SegInfo
 
[GUTS-RS] - Testes de Segurança: O que preciso saber para planejar
 [GUTS-RS] - Testes de Segurança: O que preciso saber para planejar [GUTS-RS] - Testes de Segurança: O que preciso saber para planejar
[GUTS-RS] - Testes de Segurança: O que preciso saber para planejar
GUTS-RS
 
Palestra cnasi 2013 s.video
Palestra cnasi 2013 s.videoPalestra cnasi 2013 s.video
Palestra cnasi 2013 s.video
Andre Takegawa
 
Palestras Como Ele Achou Estas Falhas V.1.0
Palestras Como Ele Achou Estas Falhas V.1.0Palestras Como Ele Achou Estas Falhas V.1.0
Palestras Como Ele Achou Estas Falhas V.1.0
Mauro Risonho de Paula Assumpcao
 
Uso de ferramentas OpenSource para Análise Forense (pós mortem)
Uso de ferramentas OpenSource para Análise Forense (pós mortem)Uso de ferramentas OpenSource para Análise Forense (pós mortem)
Uso de ferramentas OpenSource para Análise Forense (pós mortem)
debian-rs
 
Pentest cool
Pentest coolPentest cool
Pentest cool
Adilson Da Rocha
 
Hacking Ético e os Testes de Invasão - UruguaianaTech 2014
Hacking Ético e os Testes de Invasão - UruguaianaTech 2014Hacking Ético e os Testes de Invasão - UruguaianaTech 2014
Hacking Ético e os Testes de Invasão - UruguaianaTech 2014
Thiago Finardi
 
Backtrack 4 Rc1 Volcon2
Backtrack 4 Rc1 Volcon2Backtrack 4 Rc1 Volcon2
Backtrack 4 Rc1 Volcon2
Mauro Risonho de Paula Assumpcao
 
Mauro risonho-backtrack
Mauro risonho-backtrackMauro risonho-backtrack
Mauro risonho-backtrack
klebersonfarias
 
Backtrack 4 rc1 fatec mogi-mirim
Backtrack 4 rc1 fatec mogi-mirimBacktrack 4 rc1 fatec mogi-mirim
Backtrack 4 rc1 fatec mogi-mirim
Mauro Risonho de Paula Assumpcao
 
Java security
Java securityJava security
Java security
armeniocardoso
 

Semelhante a "Técnicas e Ferramentas para Auditorias Testes de Invasão" (20)

CNASI Cyber, Forense e CISSP
CNASI Cyber, Forense e CISSPCNASI Cyber, Forense e CISSP
CNASI Cyber, Forense e CISSP
 
Pentest
Pentest Pentest
Pentest
 
Introdução de teste de segurança app web
Introdução de teste de segurança app webIntrodução de teste de segurança app web
Introdução de teste de segurança app web
 
Ethical Hacking - Campus Party Brasília 2017
Ethical Hacking - Campus Party Brasília 2017Ethical Hacking - Campus Party Brasília 2017
Ethical Hacking - Campus Party Brasília 2017
 
Segurança da informação
Segurança da informaçãoSegurança da informação
Segurança da informação
 
2011 01-18.campus party 2011
2011 01-18.campus party 20112011 01-18.campus party 2011
2011 01-18.campus party 2011
 
Iscte security events workshop multicert-pt2
Iscte security events workshop   multicert-pt2Iscte security events workshop   multicert-pt2
Iscte security events workshop multicert-pt2
 
Ferramentas livres para teste de invasao
Ferramentas livres para teste de invasao Ferramentas livres para teste de invasao
Ferramentas livres para teste de invasao
 
201108 sandro süffert - desafios em forense computacional e resposta a incide...
201108 sandro süffert - desafios em forense computacional e resposta a incide...201108 sandro süffert - desafios em forense computacional e resposta a incide...
201108 sandro süffert - desafios em forense computacional e resposta a incide...
 
"Desafios em Computação Forense e Resposta a Incidentes de Segurança"?
"Desafios em Computação Forense e Resposta a Incidentes de Segurança"?"Desafios em Computação Forense e Resposta a Incidentes de Segurança"?
"Desafios em Computação Forense e Resposta a Incidentes de Segurança"?
 
[GUTS-RS] - Testes de Segurança: O que preciso saber para planejar
 [GUTS-RS] - Testes de Segurança: O que preciso saber para planejar [GUTS-RS] - Testes de Segurança: O que preciso saber para planejar
[GUTS-RS] - Testes de Segurança: O que preciso saber para planejar
 
Palestra cnasi 2013 s.video
Palestra cnasi 2013 s.videoPalestra cnasi 2013 s.video
Palestra cnasi 2013 s.video
 
Palestras Como Ele Achou Estas Falhas V.1.0
Palestras Como Ele Achou Estas Falhas V.1.0Palestras Como Ele Achou Estas Falhas V.1.0
Palestras Como Ele Achou Estas Falhas V.1.0
 
Uso de ferramentas OpenSource para Análise Forense (pós mortem)
Uso de ferramentas OpenSource para Análise Forense (pós mortem)Uso de ferramentas OpenSource para Análise Forense (pós mortem)
Uso de ferramentas OpenSource para Análise Forense (pós mortem)
 
Pentest cool
Pentest coolPentest cool
Pentest cool
 
Hacking Ético e os Testes de Invasão - UruguaianaTech 2014
Hacking Ético e os Testes de Invasão - UruguaianaTech 2014Hacking Ético e os Testes de Invasão - UruguaianaTech 2014
Hacking Ético e os Testes de Invasão - UruguaianaTech 2014
 
Backtrack 4 Rc1 Volcon2
Backtrack 4 Rc1 Volcon2Backtrack 4 Rc1 Volcon2
Backtrack 4 Rc1 Volcon2
 
Mauro risonho-backtrack
Mauro risonho-backtrackMauro risonho-backtrack
Mauro risonho-backtrack
 
Backtrack 4 rc1 fatec mogi-mirim
Backtrack 4 rc1 fatec mogi-mirimBacktrack 4 rc1 fatec mogi-mirim
Backtrack 4 rc1 fatec mogi-mirim
 
Java security
Java securityJava security
Java security
 

Mais de Clavis Segurança da Informação

Bsides SP 2022 - EPSS - Final.pptx
Bsides SP 2022 - EPSS - Final.pptxBsides SP 2022 - EPSS - Final.pptx
Bsides SP 2022 - EPSS - Final.pptx
Clavis Segurança da Informação
 
Cloud Summit Canada com Rodrigo Montoro
Cloud Summit Canada com Rodrigo MontoroCloud Summit Canada com Rodrigo Montoro
Cloud Summit Canada com Rodrigo Montoro
Clavis Segurança da Informação
 
Resposta a Incidentes | Mind The Sec 2022 com Rodrigo Montoro
Resposta a Incidentes | Mind The Sec 2022 com Rodrigo MontoroResposta a Incidentes | Mind The Sec 2022 com Rodrigo Montoro
Resposta a Incidentes | Mind The Sec 2022 com Rodrigo Montoro
Clavis Segurança da Informação
 
Palestra GlobalSign
Palestra GlobalSignPalestra GlobalSign
Palestra Clavis - Octopus
Palestra Clavis - OctopusPalestra Clavis - Octopus
Palestra Clavis - Octopus
Clavis Segurança da Informação
 
Palestra Exceda - Clavis 2016
Palestra Exceda - Clavis 2016Palestra Exceda - Clavis 2016
Palestra Exceda - Clavis 2016
Clavis Segurança da Informação
 
Webinar # 17 – Análise de Malware em Forense Computacional
Webinar # 17 – Análise de Malware em Forense ComputacionalWebinar # 17 – Análise de Malware em Forense Computacional
Webinar # 17 – Análise de Malware em Forense Computacional
Clavis Segurança da Informação
 
Palestra "Teste de Invasão com o Nmap Scripting Engine"" FISL 13
Palestra "Teste de Invasão com o Nmap Scripting Engine"" FISL 13 Palestra "Teste de Invasão com o Nmap Scripting Engine"" FISL 13
Palestra "Teste de Invasão com o Nmap Scripting Engine"" FISL 13
Clavis Segurança da Informação
 

Mais de Clavis Segurança da Informação (8)

Bsides SP 2022 - EPSS - Final.pptx
Bsides SP 2022 - EPSS - Final.pptxBsides SP 2022 - EPSS - Final.pptx
Bsides SP 2022 - EPSS - Final.pptx
 
Cloud Summit Canada com Rodrigo Montoro
Cloud Summit Canada com Rodrigo MontoroCloud Summit Canada com Rodrigo Montoro
Cloud Summit Canada com Rodrigo Montoro
 
Resposta a Incidentes | Mind The Sec 2022 com Rodrigo Montoro
Resposta a Incidentes | Mind The Sec 2022 com Rodrigo MontoroResposta a Incidentes | Mind The Sec 2022 com Rodrigo Montoro
Resposta a Incidentes | Mind The Sec 2022 com Rodrigo Montoro
 
Palestra GlobalSign
Palestra GlobalSignPalestra GlobalSign
Palestra GlobalSign
 
Palestra Clavis - Octopus
Palestra Clavis - OctopusPalestra Clavis - Octopus
Palestra Clavis - Octopus
 
Palestra Exceda - Clavis 2016
Palestra Exceda - Clavis 2016Palestra Exceda - Clavis 2016
Palestra Exceda - Clavis 2016
 
Webinar # 17 – Análise de Malware em Forense Computacional
Webinar # 17 – Análise de Malware em Forense ComputacionalWebinar # 17 – Análise de Malware em Forense Computacional
Webinar # 17 – Análise de Malware em Forense Computacional
 
Palestra "Teste de Invasão com o Nmap Scripting Engine"" FISL 13
Palestra "Teste de Invasão com o Nmap Scripting Engine"" FISL 13 Palestra "Teste de Invasão com o Nmap Scripting Engine"" FISL 13
Palestra "Teste de Invasão com o Nmap Scripting Engine"" FISL 13
 

"Técnicas e Ferramentas para Auditorias Testes de Invasão"

  • 1. Técnicas e Ferramentas para Auditorias Testes de Invasão Rafael Soares Ferreira Sócio Diretor Clavis Segurança da Informação rafael@clavis.com.br
  • 2. $ whoami •  Sócio Diretor do Grupo Clavis •  Auditor de Segurança •  Instrutor e Palestrante •  Áreas de interesse: Análise forense computacional; Detecção e resposta a incidentes de segurança; Testes de invasão em redes, sistemas e aplicações.
  • 3. Conceitos l  Atividade técnica controlada l  Teste de segurança l  Simulação de ataques Tentativas de obtenção de acesso não autorizado a ativos l  de informação
  • 4. Justificativa e Motivação Avaliar os riscos e vulnerabilidades reais presentes no seu l  negócio • Determinar se os investimentos atuais estão realmente detectando e prevenindo ataques • Conformidade com normas internacionais • Milestone para projetos entrarem ou não em produção (“go live”)
  • 5. PenTest X Ataque Real l  Metodologia l  Documentação l  Preocupação com o Cliente l  Limitações l  Autorização documentada l  Integridade
  • 6. Planejamento e Preparação l  Detalhes da Infraestrutura     l  Acordo de confidencialidade (NDA)     l  Equipamento e recursos necessários   l  Relatório de linha do tempo l  Acesso a testes anteriores l  Inspeção física l  Tratamento de questões especiais l  Limitações de Tempo
  • 7. Planejamento e Preparação l  Objetivo/Propósito l  Alvos l  Profundidade l  Exclusões
  • 8. Tipos de Teste >> O que você sabe sobre o ambiente? Blind (caixa preta) Open (caixa branca) >> O que o ambiente sabe sobre você? Teste anunciado Teste Não-anunciado
  • 9. Etapas de um PenTest •  Obtenção  de  Informações  e  Mapeamento   •  Iden4ficação  de  Vulnerabilidades   •  Análise  e  Exploração    
  • 10. Obtenção de Informações e Mapeamento Nmap   Iden4fica  hosts  vivos,  estado  de  portas,  serviços  e  sistemas   operacionais     Xprobe   Fingerprint  de  sistemas  operacionais     P0f   Iden4ficação  passiva  de  SO  
  • 11. Identificação de Vulnerabilidades NESSUS  Professional  Edi4on   Iden4fica  Vulnerabildiades  em  sistemas,  serviçoes  e   aplicações.     QualysGuard   Iden4fica  vulnerabilidades,  correções  pendentes  e   existência  de  exploits  públicos  para  tais  vulnerabilidades.  
  • 12. Identificação de Vulnerabilidades w3af   Verifica  a  possibilidade  de  execução  de  ataques  do  4po   injeção  de  SQL,  cross  site  scrip4ng  (XSS),  inclusão  de   arquivos  locais  e  remotos,  entre  outros.       Nikto   Verifica  a  existência  de  versões  desatualizadas,  problemas   em  versões  específicas  e  ítens  de  configuração  do  servidor.  
  • 13. Análise e Exploração Metasploit  Framework  /  Express  /  Pro   Relaciona  Vulnerabilidades  descobertas  com  uma  base  de   exploits  e  faz  tenta4vas  de  invasão.     Sqlmap   Avalia  a  possibilidade  de  injeções  em  aplicações  e  uiliza  o   padrões  de  resposta  para  mapear  versões  de  banco.  
  • 14. Análise e Exploração Webscarab  /  Paros  /  BurpSuite   Intercepta  requisições  para  manipular  campos  e  parâmetros   burlando  controles  client  side  e  forjando  requisições   inválidas.     LOIC  /  Hping  /T50   Fazem  ataques  de  Negação  de  Serviço     John  the  ripper  /  Hydra   Efetua  ataques  de  Força  Bruta  
  • 15. Análise e Exploração Wireshark  /  TCPdump  /  Edercap  /  Dsniff     Verifica  se  é  possível  iden4ficar  e  obter  informações   sensíveis  através  da  manipulação  de  tráfego  de  rede     Aircrack-­‐ng  /  Kismet   Avalia  exposição  de  dados  e  configurações  em  redes  sem  fio  
  • 16. Modelos e Referências >> OWASP Open Web Application Security Project >> OSSTMM Open Source Security Testing Methodology Manual >> NIST 800.42 Guideline on Network Security Testing >> ISSAF Information Systems Security Assessment Framework
  • 17. Dúvidas? Perguntas? Críticas? Sugestões?
  • 18. Muito Obrigado! rafael@clavis.com.br @rafaelsferreira Rafael Soares Ferreira Sócio Diretor Clavis Segurança da Informação