Uab Seginfo Slides 2015 1

Universidade Aberta do Brasil - UABUniversidade Estadual do Ceará – UECELicenciatura Plena em Informática

Segurança da Informação – 2015.1Prof. Luiz Gonzaga

Limoeiro do Norte, 15 de maio de 2015.

Agenda➢ Apresentação➢ Capítulo 01: Redes de Computadores➢ Capítulo 02: Criptografia➢ Capítulo 03: Segurança da Informação➢ Capítulo 04: Testes de Intrusão

Apresentação➢ Luiz Gonzaga Mota Barbosa

➢ Bacharel em Ciências da Computação – UECE➢ Aluno do Mestrado Acadêmico em Ciências da Computação – UECE➢ Membro do INSERT – 2008...

➢ Segurança da Informação➢ Pesquisa e desenvolvimento

➢ Analista de TI / Segurança da Informação – STI/UFC➢ Professor Formador UAB – 2014.2

A disciplina➢ 3 encontros:

➢ 15/05: Capítulo 01 (Presença = 4)

➢ 16/05: Capítulo 02 (Presença = 5)

➢ *05/06: Capítulo 03 (Presença = 4)

➢ *06/06: Capítulo 04 (Presença = 5)

➢ 19/06: Tira dúvidas (Presença = 4)

➢ 20/06: Prova (Presença = 5)

➢ Atividades:➢ Exercícios (Presença = 31 – A1 = 15, A2 = 16**)

➢ Fórum (Presença = 5** – cada fórum)

➢ Presença total = 68➢ Máximo de 17 faltas.

➢ Nota:➢ Exercícios➢ Fórum➢ Prova➢ Auto-avaliação

Capítulo 01

Redes de Computadores

Imagem: http://www.jofarsystems.com/computer-networking

➢ Criadas a partir da necessidade de se compartilhar dados e dispositivos.

➢ Desta forma, a intercomunicação entre os dispositivos finais (nós) da rede resulta na distribuição dos dados, deixando as informações acessíveis através da rede.

➢ A Internet é uma rede de computadores que conecta milhões de dispositivos ao redor do mundo.


➢ Dispositivos são conectados através de enlaces (links) de comunicação e comutadores de pacotes.

➢ Enlaces diferentes podem ter taxas de transmissão diferentes. ➢ Taxa de transmissão → medida em bits/seg.

➢ A comunicação dos dispositivos finais com a Internet se dá por meio de Provedores de Serviço de Internet (ISPs – Internet Service Provider)

➢ Os provedores também obedecem a uma hierarquia; portanto ISPs de nível mais baixo são interconectados por meio de ISPs de maior nível.


Imagem: Computer Networking: A Top-Down Approach, 6 Ed. Kurose-Ross. 2013. (adaptado)

➢ Quando um nó possui dados para enviar a outro sistema final, o emissor fragmenta os dados em pacotes.

➢ Cada pacote possui informações utilizadas para a localização do destino e para a reorganização dos fragmentos que compõem o dado original.

➢ Esses pacotes são encaminhados através de diversos dispositivos de rede até chegar no destino.

➢ Sequência de enlaces e dispositivos → rota ou caminho.➢ Ao chegar no destino, os pacotes são reoganizados, recuperando o dado

original.

Transmissão de dados

➢ Estratégia Armazena-e-Encaminha:

Transmissão de dados


➢ São regras e convenções desenvolvidas com a finalidade de gerenciar o envio e o recebimento de dados.

➢ Pode se dizer então que os protocolos regem a Internet de acordo com padrões acordados para o funcionamento adequado de cada um destes protocolos.

➢ Gerenciados pela IETF - Internet Engineering Task Force.➢ Os documentos padronizados da IETF são chamados RFC (Request for

Comments)➢ Relatórios técnicos de cada protocolo, definindo-os a partir de sua estrutura básica.

Protocolos

Protocolos


➢ Procurando reduzir a complexidade e promover a interoperabilidade entre as tecnologias, os softwares de comunicação são altamente estruturados.

➢ O processo de comunicação é subdividido em camadas onde cada uma delas provê serviços para a sua superior.

➢ Em uma comunicação entre duas máquinas, cada camada troca informações com a mesma camada na outra máquina.

Protocolos

Protocolos - Camadas

Protocolos – Pilha TCP

➢ Aplicação → é a camada que a maioria dos programas de rede usa de forma a se comunicar através de uma rede com outros programas. Processos que rodam nessa camada são específicos da aplicação; o dado é passado do programa de rede, no formato usado internamente por essa aplicação, e é codificado dentro do padrão de um protocolo.

➢ Transporte → provê mecanismos que possibilitam a troca de dados fim-a-fim, ou seja, a camada de transporte não se comunica com máquinas intermediárias na rede, como pode ocorrer com as camadas inferiores.


➢ Rede → trata basicamente de duas funções importantíssimas: Endereçamento e Roteamento.

➢ O endereçamento → identificação dos endereços de origem e destino dos dados a transmitir.

➢ O roteamento → está relacionado a escolhas referentes à determinação do melhor caminho a ser percorrido pela informação (rotas).

➢ Enlace → Oferece serviços à camada de rede; Detecção e Correção de erros de transmissão; Regular o fluxo de dados de modo que um host mais rápido não sobrecarregue um mais lento.


➢ Física → trata da transmissão efetiva da informação (bits) pela rede. Os dados que são transmitidos de uma interface à outra são enviados à rede como uma sequência de bits composta de vários 0 (zero) e 1 (um).

➢ A função desta camada é garantir que o envio de cada bit 0 seja recebido como um bit 0, e cada bit 1 seja recebido como um bit 1. Não há necessidade de preocupação com a leitura das informações nem com os erros ocorridos durante a transmissão.

Protocolos - Encapsulamento / Desencapsulamento

Ameaças na rede

➢ Hoje em dia, a Internet é ferramenta essencial para qualquer organização, sejam elas grandes, pequenas, universidades ou órgãos do governo.

➢ Porém, existem ameaças “invisíveis” → usuários mal intencionados.➢ Danificando computadores conectados à Internet;➢ Violando privacidade;➢ Inutilizando alguns serviços da Internet;➢ Capturando informações privilegiadas.

Consequências➢ Indisponibilidade dos serviços;➢ Prejuízos financeiros;➢ Processos judiciais;➢ Multas ou penalidades contratuais;➢ Danos à imagem...

Segurança da Informação

Capítulo 02

Criptografia

Imagem: http://www.baboo.com.br/seguranca/criptografia-de-dados-se-torna-comum-entre-empresas-de-tecnologia/

Criptologia➢ Criptografia

➢ Estuda formas de ocultar mensagens/informações.

➢ Embaralha as informações através de funções criptográficas e uma ou mais chaves.

➢ Criptoanálise➢ Estuda formas de decifrar as

informações encriptadas, sem o conhecimento da chave utilizada.

➢ Esteganografia➢ Esconde a existência de uma mensagem dentro de outras mensagens.➢ Criptografia oculta.

Termos comuns

➢ Texto plano: informação original, não encriptada.➢ Texto cifrado (ou cifra): informação encriptada.➢ Algoritmo criptográfico: conjunto de funções utilizadas para:

➢ Encriptação: transforma o texto plano em texto cifrado;➢ Decriptação: processo inverso da encriptação.

➢ Chave criptográfica: uma das informações necessárias para encriptar/decriptar informações.

Encriptação e decriptação

Chaves criptográficas

➢ As chaves utilizadas durante a encriptação e a decriptação podem ser as mesmas ou podem ser chaves diferentes, uma para cada processo.

➢ Chaves iguais → Criptografia simétrica➢ Chaves diferentes → Criptografia Assimétrica

Sistemas criptográficos

“Sistemas criptográficos são compostos por uma família de transformações Ek e Dk para encriptação e decriptação,

respectivamente, e por um espaço de chaves K no qual estão todas as chaves possíveis para um dado sistema criptográfico.”


➢ Devem garantir que não será possível obter o texto plano e/ou a chave criptográfica a partir do texto cifrado ou de pares (texto plano, texto cifrado).

➢ Caso contrário, são ditos quebráveis.

➢ O segredo mantido por sistemas criptográficos deve depender somente da chave criptográfica k.

➢ No caso de sistemas onde a chave de encriptação é diferente da chave de decriptação, pelo menos uma das chaves deve ser mantida em segredo.


➢ Para ser considerado um sistema criptográfico incondicionalmente seguro, o sistema deve resistir a qualquer tipo de ataque.

➢ Texto plano escolhido; Texto cifrado escolhido; Texto plano conhecido; Somente texto cifrado.

➢ Porém, dados os recursos necessários ilimitadamente, todo sistema criptográfico é quebrável.

➢ A questão é: Em quanto tempo um dado sistema criptográfico seria quebrado?


“Um sistema criptográfico computacionalmente seguro ou forte é aquele que não é capaz de ser quebrado, em tempo hábil, por métodos

sistemáticos, ainda que utilizando todos os recursos disponíveis.”

Criptografia Simétrica

➢ Algoritmo de Transposição➢ Altera a ordem dos componentes

da mensagem.➢ Texto plano: GONZAGA➢ Cifra: GNAAOZG

➢ Algorítimo de Substituição➢ Correlação entre símbolos.➢ Texto plano: GONZAGA➢ Cifra: JRQCDJD

➢ Utilização de uma mesma chave secreta para encriptação e decriptação.

Encriptação

José Maria

Texto plano Algoritmo de

Encriptação

Texto cifrado

Texto cifrado

Decriptação

José Maria

Texto cifrado

Texto planoAlgoritmo de

Decriptação

Texto plano

Discussão

➢ Como distribuir a chave?➢ Como saber que a mensagem foi enviada por aquele que diz tê-la

enviado?➢ Como verificar que a mensagem recebida é aquela que foi, de fato,

enviada?

Criptografia Assimétrica

➢ Cada entidade possui um par de chaves próprias:➢ Chave pública: que pode ser disponibilizada livremente;➢ Chave privada: DEVE ser mantida em segredo e devidamente protegida.

➢ As chaves possuem uma relação entre elas:➢ Uma mensagem encriptada com uma das chaves, só poderá ser recuperada

com a utilização da outra chave correspondente.

E como funciona? – Encriptação

José Maria

Algoritmo de Encriptação

Texto cifrado

Texto cifrado

PUBJosé

PRIJosé

PUBMaria

PRIMaria

PUBMaria

Texto plano

E como funciona? – Decriptação

José Maria

Algoritmo de Decriptação

PUBJosé

PRIJosé

PUBMaria

PRIMaria

Texto plano

Texto cifrado

PRIMaria

Discussão➢ Resolvido o problema da troca de chaves!

➢ Cada entidade possui seu par e o gerencia de maneira adequada.

➢ Confidencialidade garantida!➢ Somente o dono da chave privada relativa à chave pública utilizada na

encriptação poderá recuperar o conteúdo da mensagem.

➢ Como saber que a mensagem foi enviada por aquele que diz tê-la enviado? – Integridade da fonte

➢ Como verificar que a mensagem recebida é aquela que foi, de fato, enviada? – Integridade da mensagem

Integridade da fonte

José Maria

Algoritmo de Encriptação

Texto cifrado

Texto cifrado

PUBJosé

PRIJosé

PUBMaria

PRIMaria

Texto plano

PRIJosé

Integridade da fonte - Verificação

José Maria

Algoritmo de Decriptação

PUBJosé

PRIJosé

PUBMaria

PRIMaria

Texto plano

Texto cifrado

PUBJosé

Discussão➢ Maria pode confiar que a mensagem foi enviada por José!

➢ Somente ele possui a chave privada correspondente a chave pública que Maria acredita ser a de José.

➢ Qualquer um poderá decriptar a mensagem uma vez que todos podem obter a chave pública de José.

➢ Como garantir os dois?

Integridade da fonte + Confidencialidade

1º. José encripta (E) a mensagem (M) utilizando sua chave privada (PRIJosé):

› C = EPRIJosé(M) → Integridade da fonte

2º. José pega esse resultado e encripta novamente utilizando a chave pública de Maria (PUBMaria):

› C = EPUBMaria[ EPRIJosé(M) ] → Integridade da fonte + Confidencialidade

3º. José envia a mensagem cifrada (C) para Maria.

Integridade da fonte + Confidencialidade

4º. Maria decripta (D) a cifra (C) utilizando sua chave privada (PRIMaria):

› DPRIMaria(C) = DPRIMaria( EPUBMaria[ EPRIJosé(M) ] ) = EPRIJosé(M)

5º. Maria pega esse resultado e decripta novamente utilizando a chave pública de José (PUBJosé):

› DPUBJosé[ EPRIJosé(M) ] = M

6º. Maria agora recuperou a mensagem original e verificou que foi enviada por José.

Discussão

➢ José e Maria podem trocar mensagens de tal forma que, somente eles poderão acessar o conteúdo e cada um pode garantir que as mensagens foram enviadas por eles.

➢ Como verificar que a mensagem recebida é aquela que foi, de fato, enviada? – Integridade da mensagem

Resumo Criptográfico – Hash

➢ Consiste em uma função matemática que transforma um conjunto de dados de entrada em uma sequência de dados de tamanho fixo.

➢ Qualquer alteração, por menor que seja, sobre o dado original, resulta em um resumo totalmente diferente.

➢ Pode ser utilizada como uma identificação única de um arquivo.➢ Não é possível obter o dado original a partir de um hash.

Assinatura Digital➢ Provê:

➢ Autenticidade: o autor é quem realmente diz ser;

➢ Integridade: a mensagem não sofreu alterações;

➢ Irretratabilidade: o emissor não tem como negar a autenticidade da mensagem.

Imagem: Introdução a Infraestrutura de Chaves Públicas e Aplicações. ESR-RNP. 2010.

Discussão

➢ Como garantir que a chave criptográfica é de fato de quem diz ser seu detentor?

➢ Solução: Certificado Digital

Certificado Digital➢ É um objeto puramente digital;➢ Contém informações de seu detentor;➢ Deve ser facilmente verificado;➢ Deve ser fácil checar se foi violado e/ou perdeu sua validade

➢ Lista de Certificados Revogados.

Certificado Digital

Imagem: Introdução a Infraestrutura de Chaves Públicas e Aplicações. ESR-RNP. 2010.

➢ Autoridade Certificadora é responsável por: ➢ Emitir os certificados digitais;➢ Controlar as chaves privadas;➢ Distribuição as respectivas chaves públicas.

Certificado Digital➢ Cadeia de certificação

Capítulo 03


No mundo atual

Fonte: http://www.ioxsus.com/#!worldwide-customer-support/zoom/mainPage/image5e1.

O que todos têm em comum?

Informação

Dados de Funcionários

Informações Financeiras

Projetos

Contratos

Investimentos

Conhecimento

O que é Informação?

“É um ativo essencial do ponto de vista de negócio de uma organização e, consequentemente, deve ser devidamente protegido.” (NBR-ISO-IEC-27000)

Tipos de informação

Com o que se preocupar?➢ Ataques: roubos, falsificações...➢ Erros inerentes de sua

utilização/manipulação: Algo encaminhado para o destino errado, quantias “com zeros a mais”...

➢ Ações da natureza: terremotos, inundações...

Consequências➢ Indisponibilidade dos serviços;➢ Prejuízos financeiros;➢ Processos judiciais;➢ Multas ou penalidades contratuais;➢ Danos à imagem...

O que sabemos sobre SegInfo?

Princípios Básicos

Confidencialidade Integridade Disponibilidade


Confidencialidade

“Está relacionada ao encobrimento de uma informação e/ou recursos, ou até mesmo de sua própria existência.” (Matt Bishop)

Confidencialidade➢ Princípio “need to know”➢ Princípio do menor privilégio

➢ Mecanismos de controle de acesso

➢ Criptografia➢ Senhas➢ Regras

Integridade

“Está relacionada à confiabilidade em uma informação ou recurso.” (Matt Bishop)

Integridade➢ Prevenção de mudanças incorretas ou não autorizadas➢ Integridade da origem e do destino

➢ Mecanismos de Prevenção (Bloqueios)➢ Mudanças não autorizadas➢ Mudanças de maneiras não autorizadas

➢ Mecanismos de Detecção➢ Analisam eventos a fim de detectar problemas

Disponibilidade

“Está relacionada à habilidade em utilizar a informação ou recurso quando desejado.” (Matt Bishop)

Disponibilidade➢ Um sistema indisponível é tão ruim quanto não ter o sistema.

➢ Mecanismos de resiliência➢ Proporcionam fontes de redundância e recuperação para o sistema.➢ Como dizer se um determinado comportamento anormal é oriundo de um

ataque ou apenas “um dia mais atarefado”?➢ Utilização de modelos estatísticos de comportamento → Nem sempre funcionam.

Princípios Básicos

Confidencialidade Integridade Disponibilidade


Violação de Segurança

Outros aspectos de SegInfo➢ Autorização➢ Autenticação➢ Responsabilidade (Accountability)➢ Não-repúdio

AutenticaçãoÉ a verificação da identidade de algo ou alguém.

➢ Pode ser alcançada através de:➢ Algo que você sabe;➢ Algo que você possui;➢ Algo que você é.

Autenticação de múltiplos fatores

AutorizaçãoConsiste em verificar se um usuário/entidade tem as permissões

necessárias, ou autoridade, para realizar uma determinada ação.

➢ Modelos de controle de acesso:➢ Compostos por entidades, objetos e as permissões que as entidades têm

sobre os objetos.➢ Alguns modelos trazem a ideia de classificar as informações e seus usuários.

Responsabilidade (Accountability)Consiste em ter a capacidade de identificar quem realizou uma

determinada ação.

➢ Basicamente alcançado através da utilização de:➢ Mecanismos de autenticação;➢ Criação de registros (logs) e trilhas de auditoria.

Não-repúdioCapacidade de garantir que uma entidade não será capaz de negar que

realizou uma determinada ação.

➢ Utilização de uma terceira parte confiável.➢ Envolve uma série de garantias por parte da terceira parte, e a confiança por

parte de quem utiliza essa terceira parte.➢ Exemplos: entidades de e-commerce e Autoridades Certificadoras.


“Segurança consiste em separar o ativo das ameaças.” (OSSTMM)

Ameaças

Humanas Naturais

Maliciosas Não maliciosas

Externas Internas

Fonte: http://technet.microsoft.com/en-us/library/cc723507.aspx (adaptado).

Inundações /Terremotos /

Incêndios

UsuárioIgnorante

FuncionáriosInsatisfeitos

Criminosos /Concorrentes

Correspondem a uma potencial violação de segurança.

Ameaças

VulnerabilidadesSão os pontos fracos existentes em um sistema.

➢ Podem ser:➢ Físicas: material de má qualidade, local onde o sistema/informação está

acondicionado;➢ Lógicas: má configurações, malwares, bugs;➢ Hardware: equipamentos defeituosos ou adulterados;➢ Humanas: desconhecimento, corrupção.

Ataques

Resultado da exploração de uma vulnerabilidade.

Ataques➢ Passivos

➢ Escutas / Espionagem➢ Varreduras em rede

➢ Ativos➢ Personificação➢ Negação de Serviço➢ Roubo de Informações➢ Adulteração/Modificação de

Informações/Dados➢ Obtenção de acesso não

autorizado...


“Segurança consiste em separar o ativo das ameaças.” (OSSTMM)

➢ Como fazer isso?➢ Separar fisicamente/logicamente➢ Destruir a ameaça ➢ Mover ou destruir o ativo

Complicado ou Ilegal

Indesejável

Políticas e Mecanismos de

Segurança

Políticas e Mecanismos

➢ Política:

É uma declaração, em alto nível, do que é permitido e do que não é permitido.

➢ Mecanismo:

Métodos, ferramentas ou procedimentos adotados a fim de fazer cumprir uma

política.

➢ Objetivos:➢ Prevenção;➢ Detecção;➢ Recuperação.

Mecanismos de Segurança

➢ Mecanismos de prevenção➢ Buscam garantir que um ataque falhará.

➢ Mecanismos de detecção➢ Buscam determinar se um ataque está ocorrendo ou já ocorreu e reportá-lo.

➢ Mecanismos de recuperação➢ Buscam avaliar e reparar os danos causados por um ataque.

Implementando Segurança

“Não existe um sistema 100% seguro.”

➢ Políticas e mecanismos são criados, combinados e postos em prática com a finalidade de:

➢ Diminuir a superfície de contato (exposição) de sistemas, recursos e informações;

➢ Inviabilizar a execução dos ataques. → Muito tempo e/ou recursos necessários para o sucesso do atacante;

➢ Reduzir/evitar prejuízos legais e financeiros.

Defense-in-Depth

Fosso

TorreÚnico

ponto de entrada

Colina

Fonte: http://itsleslielive.com/tag/cardiff/

Muralha

Defense-in-Depth

Dados/Informação

Infraestrutura Física

Redes e Comunicações

Hospedeiro

Alinhamento

Legislação

Negócio

Tecnologia

Pessoas

Processos Tecnologia

SegInfo não é só T.I.

Níveis de implementação

Estratégico(Diretrizes)

Tático(Normas)

Operacional(Procedimentos)

Especificação(O que quero)

Projeto(Componentes)

Implementação(Técnicas)

Negócio Produto

Saber analisar sua implementação

Balancear

Segurança

Custo Praticidade

“Segurança não é um produto, é um processo contínuo.”

Fonte: http://www.profissionaisti.com.br/2010/10/conhecendo-a-abnt-nbr-isoiec-27001-parte-1/ – adaptado da norma ABNT NBR/ISO/IEC 27001:2013

“Segurança não é um produto, é um processo contínuo.”

Fonte: Norma ABNT NBR/ISO/IEC 27001:2013

Não é preciso reinventar a roda➢ Organização Internacional de Padronização (International Organization for Standadization –

ISO)➢ Organização não-governamental, independente composta por membros de entidades de padronização de

163 países. QG em Genebra, Suíça.➢ Família 27000 (principalmente).

➢ Associação Brasileira de Normas Técnicas (ABNT)➢ “ISO no Brasil”

➢ DSIC-GSIPR➢ Legislação, normas de SegInfo.➢ Coordenar e acompanhar ações de Seginfo na APF.

Dificuldades➢ Falta de consciência/apoio da alta administração sobre o assunto:

➢ Não pertence à área técnica;➢ Não possui pessoal com o conhecimento necessário.

➢ A cultura organizacional:

➢ Hábitos/costumes;➢ Resistência a mudanças.

➢ Desconhecimento do ambiente:

➢ Não conhecer bem o negócio, seus requisitos;➢ Não sabe o que acontece em sua rede/sistema.

Dificuldades➢ Falta de pessoal qualificado:

➢ Poucos profissionais disponíveis;➢ Área muito especializada.

➢ Avanço tecnológico acelerado:

➢ Novos ataques / ameaças;➢ Novas soluções / técnicas.

➢ Custo elevado:

➢ Profissional qualificado;➢ Soluções: aquisição e manutenção/suporte.

Importante

➢ “Segurança é como uma corrente, tão forte quanto seu elo mais fraco.”

➢ “A falsa sensação de estar seguro é pior do que não ter segurança nenhuma.”

➢ “Você não pode resolver um problema com o mesmo pensamento que criou o problema.” - Albert Einstein.

Capítulo 04

Testes de Intrusão

Imagem: http://www.potech-consulting.com/service/penetration-tests

Imagem: http://imgarcade.com/1/angry-phone-call-cartoon/. (adaptado)

➢ Um termo mais amigável ao mundo de negócios quando se fala sobre hacking como um serviço.

➢ Consiste na utilização das mesmas técnicas e ferramentas que um indivíduo malicioso utilizaria para atacar um sistema, porém com a finalidade de descobrir e relatar ao cliente, ou empresa, as vulnerabilidades encontradas em seus sistemas.

➢ Tabém conhecido como:➢ Hacking ético (Etical Hacking);➢ Pentest (Penetration Tests).

Testes de Intrusão

Tipos de Pentest

Escopo

➢ Completo

➢ Parcial

➢ Direcionado

Conhecimento sobre o alvo

➢ Black box

➢ Gray box

➢ White box

Posicionamento da equipe

➢ Interno

➢ Externo

➢ Completo → todos os departamentos serão avaliados. Vai desde o acesso físico até os dispositivos presentes no sistema da empresa.

➢ Parcial → apenas parte da empresa será testada. Um novo setor ou uma determinada filial, por exemplo.

➢ Direcionado → neste, um determinado dispositivo ou sistema será testado pela equipe.

Tipos de Pentest - Escopo

➢ Black box → a equipe não possui nenhuma informação sobre a empresa, seus departamentos, funcionários e dispositivos. Este tipo de pentest simula um ataque de um usuário vindo da Internet.

➢ Gray box → a equipe possui algumas informações cedidas pela empresa. Este tipo de teste simula um ataque que poderia ser realizado por algum empregado insatisfeito ou que foi demitido e deseja prejudicar a empresa.

➢ White box → a equipe possui todas as informações relacionadas ao sistema que será avaliado. Este tipo de teste simula a ação de um atacante que é membro da empresa e possui informações relevantes sobre ela.

Tipos de Pentest – Conhecimento sobre o alvo

➢ Interno → a equipe agirá de dentro da empresa como se fosse algum funcionário a fim de prejudicá-la.

➢ Externo → todas as ações realizadas pela equipe durante o pentest ocorrerão fora dos perímetros da empresa que a contratou.

Tipos de Pentest – Posicionamento da equipe

➢ Ataques bem sucedidos não ocorrem de maneira aleatória, é preciso um certo planejamento, ainda que este seja mínimo, por parte do atacante e, portanto, do pentester.

➢ Antes de iniciar qualquer atividade, deve ser realizada uma reunião na qual devem estar presentes:

➢ a equipe que realizará o teste e;➢ representatntes do cliente (administrativos e técnicos).

➢ Nesta reunião, tratará sobre questões como o escopo do teste, questões financeiras, entre outras

➢ Tudo deverá ser posto em um documento assinado por todos os envolvidos a fim de evitar complicações legais para ambos os lados.

Antes de fazer um pentest

Fases do pentest

ReconhecimentoAnálise de

Vulnerabilidades Ataque Ocultação das evidências

➢ O atacante busca o máximo de informações relevantes sobre seu alvo.➢ Reconhecimento passivo

➢ O atacante utiliza técnicas para obter informações sobre o alvo, sem que este perceba.

➢ Serve para ter uma visão geral do alvo: comportamentos, pessoas, informações disponíveis através da Internet.

➢ Reconhecimento ativo➢ Técnicas de reconhecimento ativo obtêm informações diretamente do alvo.

➢ Maior possibilidade de ser detectado.➢ Serve para ter uma visão mais detalhada do alvo: sistemas utilizados, serviços em

execução, máquinas conectadas, etc.

Fases do pentest - Reconhecimento

➢ O atacante tenta identificar as possíveis vulnerabilidades existentes nos sistemas descobertos.

➢ Essas vulnerabilidades são ordenadas de acordo com seu nível de criticidade.

➢ São escolhidos/desenvolvidos os exploits que serão utilizados na próxima fase.

Fases do pentest – Análise de Vulnerabilidades

➢ Simplesmente o ataque propriamente dito. ➢ São lançados os exploits encontrados e/ou desenvolvidos na fase anterior a

fim de obter acesso ao sistema alvo. ➢ Esses exploits podem ser lançados local ou remotamente e através de redes com ou

sem fio.

➢ Ataque bem sucedido = controle/acesso à máquina ou sistema atacado.➢ Roubar informações, manter o controle, lançar outros ataques, etc.

Fases do pentest – Ataque

➢ A fim de manter o controle do sistema, ou simplesmente, não ser punido, o atacante deverá limpar as evidências geradas durante o ataque.

➢ São buscados todos os registros do sistema (logs), alarmes de sistemas de detecção de intrusão para que estes sejam alterados e assim o ataque seja ocultado.

Fases do pentest – Ocultação de evidências

➢ Todas as descobertas feitas pela equipe que realizou o teste, assim como informações referentes aos ataques, deverão estar presentes neste relatório e deverão ser apresentadas aos responsáveis pela empresa.

➢ Todo o conteúdo deste documento deve, por razões óbvias, ser mantido confidencial e ser acessado somente por aqueles encarregados na empresa em tomar as devidas providências.

Ao final de um pentest

➢ Para auxiliar o trabalho da equipe, esta deve seguir uma metodologia de como será o pentest.

➢ Documentação, fases, ações, processos, entradas e saídas.➢ Exemplos de metodologias existentes:

➢ OSSTM;➢ ISSAF;➢ OWASP;

➢ Com o tempo a equipe pode desenvolver sua própria metodologia de pentest.

Metodologias

Próximo encontro➢ 19/06:

➢ Tira dúvidas!!!➢ Tira dúvidas != Revisão → Não dá tempo revisar tudo. =/

➢ 20/06:➢ NPC

Obrigado!

[email protected]

Uab Seginfo Slides 2015 1

Documents

Transcript of Uab Seginfo Slides 2015 1