Upload
wlad1m1r
View
71
Download
0
Embed Size (px)
Citation preview
www.acunetix.comCombating the web vulnerability threat
Fevereiro 2013
SUNLIT SUNLIT TECHNOLOGIESTECHNOLOGIES Representante Acunetix no Brasil
ACUNETIX
Scanner para Identificar Vulnerabilidades em Scanner para Identificar Vulnerabilidades em Aplicações WEB Aplicações WEB
www.acunetix.comCombating the web vulnerability threat
O GARTNER GROUP aponta a solução ACUNETIX como um dos líderes em ANÁLISE DE VULNERABILIDADE DE APLICAÇÕES
Confira a posição de destaque ocupada pela solução ACUNETIX no QUADRANTE MÁGICO do GARTNER GROUP (dezembro de 2011) em referencia ao tema DAST (Dynamic Application Security Testing) ou Análise de Vulnerabilidades em Aplicações.
www.acunetix.comCombating the web vulnerability threat
Por que sua empresa pode se tornar alvo de hackers ?
Porque voce disponibiliza seu website 7x24 para atender seus clientes e…os hackers sabem disso !
Além disso….os hackers gostam bastante de se divertir…e aproveitam o tempo livre para :
. – Obter acesso a dados sensitivos (de sua empresa, de seus fornecedores e de …seus clientes…..)
– Descaracterizar websites – Lhe ´presentear´ com mensagens PHISHING para obter seus
dados bancários – ´Entupir´ seus links de acesso pela distribuição de conteúdo
ilegal – Manipular de forma maliciosa seus aplicativos WEB
www.acunetix.comCombating the web vulnerability threat
O que sua empresa perde sendo ´hackeada´ ?
• Confidencialidade de informações relativas ao negócio• Perda de confiança e reputação perante seus clientes e
fornecedores • Imagem da sua empresa é ´arranhada´ • Suas operações podem ficar ´fora-do-ar´ • Perda de faturamento e receitas• Implicações legais e multas
www.acunetix.comCombating the web vulnerability threat
Porque escolher um scanner ambiente WEB ?
• Voce pode manter aberta a Port 80 • Um firewall de aplicação WEB não é suficiente para barrar
intrusos • Firewalls, IDS and IPS não tem proteção suficiente• Acesso direto a servidores corporativos • Aplicações feitas in-house não são auditadas
www.acunetix.comCombating the web vulnerability threat
Como o Scanner-Acunetix funciona…..
• Detecta SQL Injection e XSS – entre outras vulnerabilidades..
• Audita websites de forma manual e automatica• Estado da arte na tecnologia de rastreamento de
vulnerabilidades– Utiliza Engine (CSA) Client Script Analyzer
• Suporte a Web 2.0, JavaScript / Ajax, JQuery com engine CSA
• Abordagem com métodos Heuristicos • Relatórios detalhados • Suporte a linha de comando
www.acunetix.comCombating the web vulnerability threat
Diferenciais técnicos da solução ACUNETIX
• Detecção de erro 404• Manipula formulários CAPTCHA • Suporta single-sign-on e mecanismos de tokens• Suporta múltiplos SCANS a partir de mesma máquina• Permite a manipulação de parametros da URL • Identifica uma nova classe de vulnerabilidade: HTTP PARAMETER
POLLUTION • Permite acesso direto ao código das aplicações WEB através da
tecnologia ACUSENSOR
www.acunetix.comCombating the web vulnerability threat
O que é a funcionalidade ACUSENSOR ?
• Vai além do escaneamento CAIXA-PRETA • Verifica a configuração da tecnologia WEB • Menor número de falso-positivos • Sem regras de regravação Url
www.acunetix.comCombating the web vulnerability threat
A tecnologia AcuSensor gera informações avançadas para ´debug´ de vulnerabilidades
Mostra qual a query QL vulnerável ao SQL Injection
E indica exatamente a linha deCódigo onde a vulnerabilidade está Localizada. ….
www.acunetix.comCombating the web vulnerability threat
Interface amigável
Facilidade no acompanhamento de status das vulnerabilidades
www.acunetix.comCombating the web vulnerability threat
Testes de penetração avançados em ambiente WEB
• Testes de penetração avançados incluem :– HTTP Editor– HTTP Sniffer– HTTP Fuzzer– Blind SQL injector– Authentication Tester
www.acunetix.comCombating the web vulnerability threat
Uma solução de segurança completa
• Acunetix verifica :– Configuração do Web server – Configuração da tecnologia Web (.NET, PHP etc)– Port scanner & Network Alerts
www.acunetix.comCombating the web vulnerability threat
Geração de Relatórios
• Relatórios de compliance e auditoria
- OWASP-Top 10 - PCI-DSS , SOX, ISO 27001• Relatórios para o desenvolvedor • Relatórios comparativos • Exporta relatórios para PDF , HTML, etc
www.acunetix.comCombating the web vulnerability threat
Apresentação Técnica
• Como agem os hackers?• O que é um Scanner de ambiente Web ?• Acunetix WVS
– Scan Wizard– Resultados do Escaneamento – Relatórios do Escanemanto
• Funcionalidades - Acunetix WVS – Target Finder– Site Crawler– Tecnologia AcuSensor – Port Scanner & Network Alerts– HTTP Editor– HTTP Fuzzer– HTTP Sniffer– Blind SQL Injector– Authentication Tester– Compare os resultados
• Configuração - Acunetix WVS – Application Settings– Perfis para escaneamento
www.acunetix.comCombating the web vulnerability threat
Como agem os hackers ?
• Hackers usam um plano sistemático de ação : 1. Estudam a infraestrutura operacional (sistema operacional e tipos
de servidores) .2. Pesquisam o website/ aplicação WEB 3. Identificam a presença de vulnerabilidades 4. Planejam e executam o ataque
• Acunetix WVS atua de forma contínua na identificação de vulnerabilidades na aplicação WEB e/ou na tecnologia WEB (PHP, Apache,etc) e/ou um determinado servidor WEB e/ou ainda qualquer serviço de rede (DNS, FTP, etc) que roda no servidor WEB.
www.acunetix.comCombating the web vulnerability threat
Como os hackers planejam seus ataques....
www.acunetix.comCombating the web vulnerability threat
Técnicas de hacking mais ativas
• Métodos estáticos conhecidos:
– Explorar vulnerabilidades em aplicações Web
– Enurmeração de diretórios
– Explorar vulnerabilidades em servidores Web
– Explorar vulnerabilidades em tecnologia Web (ex : PHP)
– Explorar vulnerabilidades em serviços de rede (ex: DNS, FTP, SMTP)
• Métodos dinamicos desconhecidos :
– SQL Injection– Cross-site Scripting– Directory & Link Traversal– File Inclusion– Exposição de código-fonte– Execução de código – Common File Checks– Manipulação de parametros – Criação ou deleção de arquivos de
forma arbitrária – CRLF Injection– Path Truncation– Engenharia reversa de Java Applet
– Session Hijacking– Ataques de autenticação – Google Hacking DatabaseA solução Acunetix WVS identifica
todos os métodos acima descritos e muito mais....
www.acunetix.comCombating the web vulnerability threat
O que é um Scanner de ambiente Web ?
• Hacking são formas de ataques maliciosos contra aplicações-Web. Qualquer usuário visitando um website pode ser um hacker em potencial ... Por isso, uma abordagem de prevenção é a primeira linha de defesa.
• Um Scanner de ambiente WEB é uma ferramenta automática de segurança que identifica vulnerabilidades em aplicações WEB ou tecnologias WEB ou servidores-WEB.
www.acunetix.comCombating the web vulnerability threat
A que se propõem a solução WVS-ACUNETIX ?• Acunetix WVS é um Scanner-WEB que possibilita efetuar
checagens automáticas e manuais na identificação de vulnerabilidades .
• Acunetix WVS usa métodos dinamicos para replicar ataques de hackers utilizando maneiras não-destrutivas. Acunetix WVS é uma ferramenta essencial para identificar vulnerabilidades em suas aplicações Web e servidores-Web.
www.acunetix.comCombating the web vulnerability threat
Acunetix WVS
Acunetix WVS Acunetix WVS é um é um Scanner que utiliza Scanner que utiliza metodologia heurística metodologia heurística permitindo escaneamento permitindo escaneamento & auditoria de forma & auditoria de forma automática e manual. automática e manual.
Pela replicação de Pela replicação de ataques hackers de ataques hackers de forma não-destrutiva - forma não-destrutiva - Acunetix-WVS Acunetix-WVS é uma é uma ferramenta essencial ferramenta essencial para manter seu para manter seu ambiente livres de ambiente livres de hackers & pragas hackers & pragas digitais. digitais.
www.acunetix.comCombating the web vulnerability threat
Como o Acunetix-WVS efetua a busca por vulnerabilidades
• Fase 1 - Processo de ´rastejamento´ para descobrir vulnerabilidades
• Fase 2 - Escaneamento Automático • Fase 3 - (opcional) – Testes manuais específicos • Fase 4 - Geração Relatórios
www.acunetix.comCombating the web vulnerability threat
Resumo das principais funcionalidades Resumo das principais funcionalidades
- AcuSensor Technology- Port Scanner & Network Alerts
- Blind SQL Injector
ACUNETIX – WVS ACUNETIX – WVS
www.acunetix.comCombating the web vulnerability threat
Tecnologia AcuSensor
• Nova tecnologia que permite a identificação de novas vulnerabilidades em aplicações que vai além do tradicional escaneamento ´caixa-preta´ enquanto gera menos ´falso-positivos´.
• ACUSENSOR indica exatamente onde está a vulnerabilidade no código e lhe mostra informações relevantes tais como – Stack-Trace (acompanhamento linha-a-linha do código), linha do código com problema e nome do arquivo.
www.acunetix.comCombating the web vulnerability threat
Port Scanner & Network Alerts
• Executa scan de portas no servidor Web – e testes de segurança nos serviços que rodam nessas portas – tais como : DNS open recursion tests, configuração incorreta em proxy-servers, open relay SMTP servers - e muito mais...
• Escreva o seu próprio teste de segurança usando a tecnologia Microsoft Active Scripting e use o nosso script como referencia.
www.acunetix.comCombating the web vulnerability threat
Blind SQL Injector
• Ideal para testes de penetração , o Blind SQL injector é uma ferramenta de extração de dados automatizada para realização de testes manuais e melhor depuramento da vulnerabilidade SQL-Injection
www.acunetix.comCombating the web vulnerability threat
Funcionalidades adicionais …
• Funcionalidade de Pausa e Recomeço do Escaneamento
• Opção para marcar alertas como falso-positivo
• Suporte ao NTLM V2• Scanner agora pode agregar a
lista de erros incomuns • Possibilidade para localizar
rapidamente uma vulnerabilidade pelo uso de filtros
• Todas opções de escaneamento estão agora disponiveis em Scheduler
www.acunetix.comCombating the web vulnerability threat
Alguns de nossos clientes no BRASIL
www.acunetix.comCombating the web vulnerability threat
Muito obrigado pela sua atenção !
Referencias adicionais Referencias adicionais :Acunetix Bloghttp://www.acunetix.com/blog Faça um tour para conhecer o WVS-Acunetixhttp://www.acunetix.com/vulnerability-scanner/features.htmLista de verificações feitas pelo WVS-Acunetix http://www.acunetix.com/support/vulnerability-checks.htm
Entre em contato conosco
Sunlit Advanced TechnologySunlit Advanced Technologywww.sunlit.com.br11-9-91362957 - Thoni Scola [email protected]