Upload
augusta
View
18
Download
0
Embed Size (px)
DESCRIPTION
aula
Citation preview
Universidade Aberta do Brasil - UABUniversidade Estadual do Ceará – UECELicenciatura Plena em Informática
Segurança da Informação – 2015.1Prof. Luiz Gonzaga
Limoeiro do Norte, 15 de maio de 2015.
Agenda➢ Apresentação➢ Capítulo 01: Redes de Computadores➢ Capítulo 02: Criptografia➢ Capítulo 03: Segurança da Informação➢ Capítulo 04: Testes de Intrusão
Apresentação➢ Luiz Gonzaga Mota Barbosa
➢ Bacharel em Ciências da Computação – UECE➢ Aluno do Mestrado Acadêmico em Ciências da Computação – UECE➢ Membro do INSERT – 2008...
➢ Segurança da Informação➢ Pesquisa e desenvolvimento
➢ Analista de TI / Segurança da Informação – STI/UFC➢ Professor Formador UAB – 2014.2
A disciplina➢ 3 encontros:
➢ 15/05: Capítulo 01 (Presença = 4)
➢ 16/05: Capítulo 02 (Presença = 5)
➢ *05/06: Capítulo 03 (Presença = 4)
➢ *06/06: Capítulo 04 (Presença = 5)
➢ 19/06: Tira dúvidas (Presença = 4)
➢ 20/06: Prova (Presença = 5)
➢ Atividades:➢ Exercícios (Presença = 31 – A1 = 15, A2 = 16**)
➢ Fórum (Presença = 5** – cada fórum)
➢ Presença total = 68➢ Máximo de 17 faltas.
➢ Nota:➢ Exercícios➢ Fórum➢ Prova➢ Auto-avaliação
Agenda➢ Apresentação➢ Capítulo 01: Redes de Computadores➢ Capítulo 02: Criptografia➢ Capítulo 03: Segurança da Informação➢ Capítulo 04: Testes de Intrusão
Capítulo 01
Redes de Computadores
Imagem: http://www.jofarsystems.com/computer-networking
➢ Criadas a partir da necessidade de se compartilhar dados e dispositivos.
➢ Desta forma, a intercomunicação entre os dispositivos finais (nós) da rede resulta na distribuição dos dados, deixando as informações acessíveis através da rede.
➢ A Internet é uma rede de computadores que conecta milhões de dispositivos ao redor do mundo.
Redes de Computadores
➢ Dispositivos são conectados através de enlaces (links) de comunicação e comutadores de pacotes.
➢ Enlaces diferentes podem ter taxas de transmissão diferentes. ➢ Taxa de transmissão → medida em bits/seg.
➢ A comunicação dos dispositivos finais com a Internet se dá por meio de Provedores de Serviço de Internet (ISPs – Internet Service Provider)
➢ Os provedores também obedecem a uma hierarquia; portanto ISPs de nível mais baixo são interconectados por meio de ISPs de maior nível.
Redes de Computadores
Imagem: Computer Networking: A Top-Down Approach, 6 Ed. Kurose-Ross. 2013. (adaptado)
➢ Quando um nó possui dados para enviar a outro sistema final, o emissor fragmenta os dados em pacotes.
➢ Cada pacote possui informações utilizadas para a localização do destino e para a reorganização dos fragmentos que compõem o dado original.
➢ Esses pacotes são encaminhados através de diversos dispositivos de rede até chegar no destino.
➢ Sequência de enlaces e dispositivos → rota ou caminho.➢ Ao chegar no destino, os pacotes são reoganizados, recuperando o dado
original.
Transmissão de dados
➢ Estratégia Armazena-e-Encaminha:
Transmissão de dados
Imagem: Computer Networking: A Top-Down Approach, 6 Ed. Kurose-Ross. 2013. (adaptado)
➢ São regras e convenções desenvolvidas com a finalidade de gerenciar o envio e o recebimento de dados.
➢ Pode se dizer então que os protocolos regem a Internet de acordo com padrões acordados para o funcionamento adequado de cada um destes protocolos.
➢ Gerenciados pela IETF - Internet Engineering Task Force.➢ Os documentos padronizados da IETF são chamados RFC (Request for
Comments)➢ Relatórios técnicos de cada protocolo, definindo-os a partir de sua estrutura básica.
Protocolos
Protocolos
Imagem: Computer Networking: A Top-Down Approach, 6 Ed. Kurose-Ross. 2013. (adaptado)
➢ Procurando reduzir a complexidade e promover a interoperabilidade entre as tecnologias, os softwares de comunicação são altamente estruturados.
➢ O processo de comunicação é subdividido em camadas onde cada uma delas provê serviços para a sua superior.
➢ Em uma comunicação entre duas máquinas, cada camada troca informações com a mesma camada na outra máquina.
Protocolos
Protocolos - Camadas
Protocolos – Pilha TCP
➢ Aplicação → é a camada que a maioria dos programas de rede usa de forma a se comunicar através de uma rede com outros programas. Processos que rodam nessa camada são específicos da aplicação; o dado é passado do programa de rede, no formato usado internamente por essa aplicação, e é codificado dentro do padrão de um protocolo.
➢ Transporte → provê mecanismos que possibilitam a troca de dados fim-a-fim, ou seja, a camada de transporte não se comunica com máquinas intermediárias na rede, como pode ocorrer com as camadas inferiores.
Protocolos – Pilha TCP
➢ Rede → trata basicamente de duas funções importantíssimas: Endereçamento e Roteamento.
➢ O endereçamento → identificação dos endereços de origem e destino dos dados a transmitir.
➢ O roteamento → está relacionado a escolhas referentes à determinação do melhor caminho a ser percorrido pela informação (rotas).
➢ Enlace → Oferece serviços à camada de rede; Detecção e Correção de erros de transmissão; Regular o fluxo de dados de modo que um host mais rápido não sobrecarregue um mais lento.
Protocolos – Pilha TCP
➢ Física → trata da transmissão efetiva da informação (bits) pela rede. Os dados que são transmitidos de uma interface à outra são enviados à rede como uma sequência de bits composta de vários 0 (zero) e 1 (um).
➢ A função desta camada é garantir que o envio de cada bit 0 seja recebido como um bit 0, e cada bit 1 seja recebido como um bit 1. Não há necessidade de preocupação com a leitura das informações nem com os erros ocorridos durante a transmissão.
Protocolos - Encapsulamento / Desencapsulamento
Ameaças na rede
➢ Hoje em dia, a Internet é ferramenta essencial para qualquer organização, sejam elas grandes, pequenas, universidades ou órgãos do governo.
➢ Porém, existem ameaças “invisíveis” → usuários mal intencionados.➢ Danificando computadores conectados à Internet;➢ Violando privacidade;➢ Inutilizando alguns serviços da Internet;➢ Capturando informações privilegiadas.
Consequências➢ Indisponibilidade dos serviços;➢ Prejuízos financeiros;➢ Processos judiciais;➢ Multas ou penalidades contratuais;➢ Danos à imagem...
Segurança da Informação
Agenda➢ Apresentação➢ Capítulo 01: Redes de Computadores➢ Capítulo 02: Criptografia➢ Capítulo 03: Segurança da Informação➢ Capítulo 04: Testes de Intrusão
Capítulo 02
Criptografia
Imagem: http://www.baboo.com.br/seguranca/criptografia-de-dados-se-torna-comum-entre-empresas-de-tecnologia/
Criptologia➢ Criptografia
➢ Estuda formas de ocultar mensagens/informações.
➢ Embaralha as informações através de funções criptográficas e uma ou mais chaves.
➢ Criptoanálise➢ Estuda formas de decifrar as
informações encriptadas, sem o conhecimento da chave utilizada.
➢ Esteganografia➢ Esconde a existência de uma mensagem dentro de outras mensagens.➢ Criptografia oculta.
Termos comuns
➢ Texto plano: informação original, não encriptada.➢ Texto cifrado (ou cifra): informação encriptada.➢ Algoritmo criptográfico: conjunto de funções utilizadas para:
➢ Encriptação: transforma o texto plano em texto cifrado;➢ Decriptação: processo inverso da encriptação.
➢ Chave criptográfica: uma das informações necessárias para encriptar/decriptar informações.
Encriptação e decriptação
Chaves criptográficas
➢ As chaves utilizadas durante a encriptação e a decriptação podem ser as mesmas ou podem ser chaves diferentes, uma para cada processo.
➢ Chaves iguais → Criptografia simétrica➢ Chaves diferentes → Criptografia Assimétrica
Sistemas criptográficos
“Sistemas criptográficos são compostos por uma família de transformações Ek e Dk para encriptação e decriptação,
respectivamente, e por um espaço de chaves K no qual estão todas as chaves possíveis para um dado sistema criptográfico.”
Sistemas criptográficos
➢ Devem garantir que não será possível obter o texto plano e/ou a chave criptográfica a partir do texto cifrado ou de pares (texto plano, texto cifrado).
➢ Caso contrário, são ditos quebráveis.
➢ O segredo mantido por sistemas criptográficos deve depender somente da chave criptográfica k.
➢ No caso de sistemas onde a chave de encriptação é diferente da chave de decriptação, pelo menos uma das chaves deve ser mantida em segredo.
Sistemas criptográficos
➢ Para ser considerado um sistema criptográfico incondicionalmente seguro, o sistema deve resistir a qualquer tipo de ataque.
➢ Texto plano escolhido; Texto cifrado escolhido; Texto plano conhecido; Somente texto cifrado.
➢ Porém, dados os recursos necessários ilimitadamente, todo sistema criptográfico é quebrável.
➢ A questão é: Em quanto tempo um dado sistema criptográfico seria quebrado?
Sistemas criptográficos
“Um sistema criptográfico computacionalmente seguro ou forte é aquele que não é capaz de ser quebrado, em tempo hábil, por métodos
sistemáticos, ainda que utilizando todos os recursos disponíveis.”
Criptografia Simétrica
➢ Algoritmo de Transposição➢ Altera a ordem dos componentes
da mensagem.➢ Texto plano: GONZAGA➢ Cifra: GNAAOZG
➢ Algorítimo de Substituição➢ Correlação entre símbolos.➢ Texto plano: GONZAGA➢ Cifra: JRQCDJD
➢ Utilização de uma mesma chave secreta para encriptação e decriptação.
Encriptação
José Maria
Texto plano Algoritmo de
Encriptação
Texto cifrado
Texto cifrado
Decriptação
José Maria
Texto cifrado
Texto planoAlgoritmo de
Decriptação
Texto plano
Discussão
➢ Como distribuir a chave?➢ Como saber que a mensagem foi enviada por aquele que diz tê-la
enviado?➢ Como verificar que a mensagem recebida é aquela que foi, de fato,
enviada?
Criptografia Assimétrica
➢ Cada entidade possui um par de chaves próprias:➢ Chave pública: que pode ser disponibilizada livremente;➢ Chave privada: DEVE ser mantida em segredo e devidamente protegida.
➢ As chaves possuem uma relação entre elas:➢ Uma mensagem encriptada com uma das chaves, só poderá ser recuperada
com a utilização da outra chave correspondente.
E como funciona? – Encriptação
José Maria
Algoritmo de Encriptação
Texto cifrado
Texto cifrado
PUBJosé
PRIJosé
PUBMaria
PRIMaria
PUBMaria
Texto plano
E como funciona? – Decriptação
José Maria
Algoritmo de Decriptação
PUBJosé
PRIJosé
PUBMaria
PRIMaria
Texto plano
Texto cifrado
PRIMaria
Discussão➢ Resolvido o problema da troca de chaves!
➢ Cada entidade possui seu par e o gerencia de maneira adequada.
➢ Confidencialidade garantida!➢ Somente o dono da chave privada relativa à chave pública utilizada na
encriptação poderá recuperar o conteúdo da mensagem.
➢ Como saber que a mensagem foi enviada por aquele que diz tê-la enviado? – Integridade da fonte
➢ Como verificar que a mensagem recebida é aquela que foi, de fato, enviada? – Integridade da mensagem
Integridade da fonte
José Maria
Algoritmo de Encriptação
Texto cifrado
Texto cifrado
PUBJosé
PRIJosé
PUBMaria
PRIMaria
Texto plano
PRIJosé
Integridade da fonte - Verificação
José Maria
Algoritmo de Decriptação
PUBJosé
PRIJosé
PUBMaria
PRIMaria
Texto plano
Texto cifrado
PUBJosé
Discussão➢ Maria pode confiar que a mensagem foi enviada por José!
➢ Somente ele possui a chave privada correspondente a chave pública que Maria acredita ser a de José.
➢ Qualquer um poderá decriptar a mensagem uma vez que todos podem obter a chave pública de José.
➢ Como garantir os dois?
Integridade da fonte + Confidencialidade
1º. José encripta (E) a mensagem (M) utilizando sua chave privada (PRIJosé):
› C = EPRIJosé(M) → Integridade da fonte
2º. José pega esse resultado e encripta novamente utilizando a chave pública de Maria (PUBMaria):
› C = EPUBMaria[ EPRIJosé(M) ] → Integridade da fonte + Confidencialidade
3º. José envia a mensagem cifrada (C) para Maria.
Integridade da fonte + Confidencialidade
4º. Maria decripta (D) a cifra (C) utilizando sua chave privada (PRIMaria):
› DPRIMaria(C) = DPRIMaria( EPUBMaria[ EPRIJosé(M) ] ) = EPRIJosé(M)
5º. Maria pega esse resultado e decripta novamente utilizando a chave pública de José (PUBJosé):
› DPUBJosé[ EPRIJosé(M) ] = M
6º. Maria agora recuperou a mensagem original e verificou que foi enviada por José.
Discussão
➢ José e Maria podem trocar mensagens de tal forma que, somente eles poderão acessar o conteúdo e cada um pode garantir que as mensagens foram enviadas por eles.
➢ Como verificar que a mensagem recebida é aquela que foi, de fato, enviada? – Integridade da mensagem
Resumo Criptográfico – Hash
➢ Consiste em uma função matemática que transforma um conjunto de dados de entrada em uma sequência de dados de tamanho fixo.
➢ Qualquer alteração, por menor que seja, sobre o dado original, resulta em um resumo totalmente diferente.
➢ Pode ser utilizada como uma identificação única de um arquivo.➢ Não é possível obter o dado original a partir de um hash.
Assinatura Digital➢ Provê:
➢ Autenticidade: o autor é quem realmente diz ser;
➢ Integridade: a mensagem não sofreu alterações;
➢ Irretratabilidade: o emissor não tem como negar a autenticidade da mensagem.
Imagem: Introdução a Infraestrutura de Chaves Públicas e Aplicações. ESR-RNP. 2010.
Discussão
➢ Como garantir que a chave criptográfica é de fato de quem diz ser seu detentor?
➢ Solução: Certificado Digital
Certificado Digital➢ É um objeto puramente digital;➢ Contém informações de seu detentor;➢ Deve ser facilmente verificado;➢ Deve ser fácil checar se foi violado e/ou perdeu sua validade
➢ Lista de Certificados Revogados.
Certificado Digital
Imagem: Introdução a Infraestrutura de Chaves Públicas e Aplicações. ESR-RNP. 2010.
➢ Autoridade Certificadora é responsável por: ➢ Emitir os certificados digitais;➢ Controlar as chaves privadas;➢ Distribuição as respectivas chaves públicas.
Certificado Digital➢ Cadeia de certificação
Agenda➢ Apresentação➢ Capítulo 01: Redes de Computadores➢ Capítulo 02: Criptografia➢ Capítulo 03: Segurança da Informação➢ Capítulo 04: Testes de Intrusão
Capítulo 03
Segurança da Informação
No mundo atual
Fonte: http://www.ioxsus.com/#!worldwide-customer-support/zoom/mainPage/image5e1.
O que todos têm em comum?
Informação
Dados de Funcionários
Informações Financeiras
Projetos
Contratos
Investimentos
Conhecimento
O que é Informação?
“É um ativo essencial do ponto de vista de negócio de uma organização e, consequentemente, deve ser devidamente protegido.” (NBR-ISO-IEC-27000)
Tipos de informação
Com o que se preocupar?➢ Ataques: roubos, falsificações...➢ Erros inerentes de sua
utilização/manipulação: Algo encaminhado para o destino errado, quantias “com zeros a mais”...
➢ Ações da natureza: terremotos, inundações...
Consequências➢ Indisponibilidade dos serviços;➢ Prejuízos financeiros;➢ Processos judiciais;➢ Multas ou penalidades contratuais;➢ Danos à imagem...
O que sabemos sobre SegInfo?
Princípios Básicos
Confidencialidade Integridade Disponibilidade
Segurança da Informação
Confidencialidade
“Está relacionada ao encobrimento de uma informação e/ou recursos, ou até mesmo de sua própria existência.” (Matt Bishop)
Confidencialidade➢ Princípio “need to know”➢ Princípio do menor privilégio
➢ Mecanismos de controle de acesso
➢ Criptografia➢ Senhas➢ Regras
Integridade
“Está relacionada à confiabilidade em uma informação ou recurso.” (Matt Bishop)
Integridade➢ Prevenção de mudanças incorretas ou não autorizadas➢ Integridade da origem e do destino
➢ Mecanismos de Prevenção (Bloqueios)➢ Mudanças não autorizadas➢ Mudanças de maneiras não autorizadas
➢ Mecanismos de Detecção➢ Analisam eventos a fim de detectar problemas
Disponibilidade
“Está relacionada à habilidade em utilizar a informação ou recurso quando desejado.” (Matt Bishop)
Disponibilidade➢ Um sistema indisponível é tão ruim quanto não ter o sistema.
➢ Mecanismos de resiliência➢ Proporcionam fontes de redundância e recuperação para o sistema.➢ Como dizer se um determinado comportamento anormal é oriundo de um
ataque ou apenas “um dia mais atarefado”?➢ Utilização de modelos estatísticos de comportamento → Nem sempre funcionam.
Princípios Básicos
Confidencialidade Integridade Disponibilidade
Segurança da Informação
Violação de Segurança
Outros aspectos de SegInfo➢ Autorização➢ Autenticação➢ Responsabilidade (Accountability)➢ Não-repúdio
AutenticaçãoÉ a verificação da identidade de algo ou alguém.
➢ Pode ser alcançada através de:➢ Algo que você sabe;➢ Algo que você possui;➢ Algo que você é.
Autenticação de múltiplos fatores
AutorizaçãoConsiste em verificar se um usuário/entidade tem as permissões
necessárias, ou autoridade, para realizar uma determinada ação.
➢ Modelos de controle de acesso:➢ Compostos por entidades, objetos e as permissões que as entidades têm
sobre os objetos.➢ Alguns modelos trazem a ideia de classificar as informações e seus usuários.
Responsabilidade (Accountability)Consiste em ter a capacidade de identificar quem realizou uma
determinada ação.
➢ Basicamente alcançado através da utilização de:➢ Mecanismos de autenticação;➢ Criação de registros (logs) e trilhas de auditoria.
Não-repúdioCapacidade de garantir que uma entidade não será capaz de negar que
realizou uma determinada ação.
➢ Utilização de uma terceira parte confiável.➢ Envolve uma série de garantias por parte da terceira parte, e a confiança por
parte de quem utiliza essa terceira parte.➢ Exemplos: entidades de e-commerce e Autoridades Certificadoras.
Segurança da Informação
“Segurança consiste em separar o ativo das ameaças.” (OSSTMM)
Ameaças
Humanas Naturais
Maliciosas Não maliciosas
Externas Internas
Fonte: http://technet.microsoft.com/en-us/library/cc723507.aspx (adaptado).
Inundações /Terremotos /
Incêndios
UsuárioIgnorante
FuncionáriosInsatisfeitos
Criminosos /Concorrentes
Correspondem a uma potencial violação de segurança.
Ameaças
VulnerabilidadesSão os pontos fracos existentes em um sistema.
➢ Podem ser:➢ Físicas: material de má qualidade, local onde o sistema/informação está
acondicionado;➢ Lógicas: má configurações, malwares, bugs;➢ Hardware: equipamentos defeituosos ou adulterados;➢ Humanas: desconhecimento, corrupção.
Ataques
Resultado da exploração de uma vulnerabilidade.
Ataques➢ Passivos
➢ Escutas / Espionagem➢ Varreduras em rede
➢ Ativos➢ Personificação➢ Negação de Serviço➢ Roubo de Informações➢ Adulteração/Modificação de
Informações/Dados➢ Obtenção de acesso não
autorizado...
Segurança da Informação
“Segurança consiste em separar o ativo das ameaças.” (OSSTMM)
➢ Como fazer isso?➢ Separar fisicamente/logicamente➢ Destruir a ameaça ➢ Mover ou destruir o ativo
Complicado ou Ilegal
Indesejável
Políticas e Mecanismos de
Segurança
Políticas e Mecanismos
➢ Política:
É uma declaração, em alto nível, do que é permitido e do que não é permitido.
➢ Mecanismo:
Métodos, ferramentas ou procedimentos adotados a fim de fazer cumprir uma
política.
➢ Objetivos:➢ Prevenção;➢ Detecção;➢ Recuperação.
Mecanismos de Segurança
➢ Mecanismos de prevenção➢ Buscam garantir que um ataque falhará.
➢ Mecanismos de detecção➢ Buscam determinar se um ataque está ocorrendo ou já ocorreu e reportá-lo.
➢ Mecanismos de recuperação➢ Buscam avaliar e reparar os danos causados por um ataque.
Implementando Segurança
“Não existe um sistema 100% seguro.”
➢ Políticas e mecanismos são criados, combinados e postos em prática com a finalidade de:
➢ Diminuir a superfície de contato (exposição) de sistemas, recursos e informações;
➢ Inviabilizar a execução dos ataques. → Muito tempo e/ou recursos necessários para o sucesso do atacante;
➢ Reduzir/evitar prejuízos legais e financeiros.
Defense-in-Depth
Fosso
TorreÚnico
ponto de entrada
Colina
Fonte: http://itsleslielive.com/tag/cardiff/
Muralha
Defense-in-Depth
Dados/Informação
Infraestrutura Física
Redes e Comunicações
Hospedeiro
Alinhamento
Legislação
Negócio
Tecnologia
Pessoas
Processos Tecnologia
SegInfo não é só T.I.
Níveis de implementação
Estratégico(Diretrizes)
Tático(Normas)
Operacional(Procedimentos)
Especificação(O que quero)
Projeto(Componentes)
Implementação(Técnicas)
Negócio Produto
Saber analisar sua implementação
Balancear
Segurança
Custo Praticidade
“Segurança não é um produto, é um processo contínuo.”
Fonte: http://www.profissionaisti.com.br/2010/10/conhecendo-a-abnt-nbr-isoiec-27001-parte-1/ – adaptado da norma ABNT NBR/ISO/IEC 27001:2013
“Segurança não é um produto, é um processo contínuo.”
Fonte: Norma ABNT NBR/ISO/IEC 27001:2013
Não é preciso reinventar a roda➢ Organização Internacional de Padronização (International Organization for Standadization –
ISO)➢ Organização não-governamental, independente composta por membros de entidades de padronização de
163 países. QG em Genebra, Suíça.➢ Família 27000 (principalmente).
➢ Associação Brasileira de Normas Técnicas (ABNT)➢ “ISO no Brasil”
➢ DSIC-GSIPR➢ Legislação, normas de SegInfo.➢ Coordenar e acompanhar ações de Seginfo na APF.
Dificuldades➢ Falta de consciência/apoio da alta administração sobre o assunto:
➢ Não pertence à área técnica;➢ Não possui pessoal com o conhecimento necessário.
➢ A cultura organizacional:
➢ Hábitos/costumes;➢ Resistência a mudanças.
➢ Desconhecimento do ambiente:
➢ Não conhecer bem o negócio, seus requisitos;➢ Não sabe o que acontece em sua rede/sistema.
Dificuldades➢ Falta de pessoal qualificado:
➢ Poucos profissionais disponíveis;➢ Área muito especializada.
➢ Avanço tecnológico acelerado:
➢ Novos ataques / ameaças;➢ Novas soluções / técnicas.
➢ Custo elevado:
➢ Profissional qualificado;➢ Soluções: aquisição e manutenção/suporte.
Importante
➢ “Segurança é como uma corrente, tão forte quanto seu elo mais fraco.”
➢ “A falsa sensação de estar seguro é pior do que não ter segurança nenhuma.”
➢ “Você não pode resolver um problema com o mesmo pensamento que criou o problema.” - Albert Einstein.
Agenda➢ Apresentação➢ Capítulo 01: Redes de Computadores➢ Capítulo 02: Criptografia➢ Capítulo 03: Segurança da Informação➢ Capítulo 04: Testes de Intrusão
Capítulo 04
Testes de Intrusão
Imagem: http://www.potech-consulting.com/service/penetration-tests
Imagem: http://imgarcade.com/1/angry-phone-call-cartoon/. (adaptado)
➢ Um termo mais amigável ao mundo de negócios quando se fala sobre hacking como um serviço.
➢ Consiste na utilização das mesmas técnicas e ferramentas que um indivíduo malicioso utilizaria para atacar um sistema, porém com a finalidade de descobrir e relatar ao cliente, ou empresa, as vulnerabilidades encontradas em seus sistemas.
➢ Tabém conhecido como:➢ Hacking ético (Etical Hacking);➢ Pentest (Penetration Tests).
Testes de Intrusão
Tipos de Pentest
Escopo
➢ Completo
➢ Parcial
➢ Direcionado
Conhecimento sobre o alvo
➢ Black box
➢ Gray box
➢ White box
Posicionamento da equipe
➢ Interno
➢ Externo
➢ Completo → todos os departamentos serão avaliados. Vai desde o acesso físico até os dispositivos presentes no sistema da empresa.
➢ Parcial → apenas parte da empresa será testada. Um novo setor ou uma determinada filial, por exemplo.
➢ Direcionado → neste, um determinado dispositivo ou sistema será testado pela equipe.
Tipos de Pentest - Escopo
➢ Black box → a equipe não possui nenhuma informação sobre a empresa, seus departamentos, funcionários e dispositivos. Este tipo de pentest simula um ataque de um usuário vindo da Internet.
➢ Gray box → a equipe possui algumas informações cedidas pela empresa. Este tipo de teste simula um ataque que poderia ser realizado por algum empregado insatisfeito ou que foi demitido e deseja prejudicar a empresa.
➢ White box → a equipe possui todas as informações relacionadas ao sistema que será avaliado. Este tipo de teste simula a ação de um atacante que é membro da empresa e possui informações relevantes sobre ela.
Tipos de Pentest – Conhecimento sobre o alvo
➢ Interno → a equipe agirá de dentro da empresa como se fosse algum funcionário a fim de prejudicá-la.
➢ Externo → todas as ações realizadas pela equipe durante o pentest ocorrerão fora dos perímetros da empresa que a contratou.
Tipos de Pentest – Posicionamento da equipe
➢ Ataques bem sucedidos não ocorrem de maneira aleatória, é preciso um certo planejamento, ainda que este seja mínimo, por parte do atacante e, portanto, do pentester.
➢ Antes de iniciar qualquer atividade, deve ser realizada uma reunião na qual devem estar presentes:
➢ a equipe que realizará o teste e;➢ representatntes do cliente (administrativos e técnicos).
➢ Nesta reunião, tratará sobre questões como o escopo do teste, questões financeiras, entre outras
➢ Tudo deverá ser posto em um documento assinado por todos os envolvidos a fim de evitar complicações legais para ambos os lados.
Antes de fazer um pentest
Fases do pentest
ReconhecimentoAnálise de
Vulnerabilidades Ataque Ocultação das evidências
➢ O atacante busca o máximo de informações relevantes sobre seu alvo.➢ Reconhecimento passivo
➢ O atacante utiliza técnicas para obter informações sobre o alvo, sem que este perceba.
➢ Serve para ter uma visão geral do alvo: comportamentos, pessoas, informações disponíveis através da Internet.
➢ Reconhecimento ativo➢ Técnicas de reconhecimento ativo obtêm informações diretamente do alvo.
➢ Maior possibilidade de ser detectado.➢ Serve para ter uma visão mais detalhada do alvo: sistemas utilizados, serviços em
execução, máquinas conectadas, etc.
Fases do pentest - Reconhecimento
➢ O atacante tenta identificar as possíveis vulnerabilidades existentes nos sistemas descobertos.
➢ Essas vulnerabilidades são ordenadas de acordo com seu nível de criticidade.
➢ São escolhidos/desenvolvidos os exploits que serão utilizados na próxima fase.
Fases do pentest – Análise de Vulnerabilidades
➢ Simplesmente o ataque propriamente dito. ➢ São lançados os exploits encontrados e/ou desenvolvidos na fase anterior a
fim de obter acesso ao sistema alvo. ➢ Esses exploits podem ser lançados local ou remotamente e através de redes com ou
sem fio.
➢ Ataque bem sucedido = controle/acesso à máquina ou sistema atacado.➢ Roubar informações, manter o controle, lançar outros ataques, etc.
Fases do pentest – Ataque
➢ A fim de manter o controle do sistema, ou simplesmente, não ser punido, o atacante deverá limpar as evidências geradas durante o ataque.
➢ São buscados todos os registros do sistema (logs), alarmes de sistemas de detecção de intrusão para que estes sejam alterados e assim o ataque seja ocultado.
Fases do pentest – Ocultação de evidências
➢ Todas as descobertas feitas pela equipe que realizou o teste, assim como informações referentes aos ataques, deverão estar presentes neste relatório e deverão ser apresentadas aos responsáveis pela empresa.
➢ Todo o conteúdo deste documento deve, por razões óbvias, ser mantido confidencial e ser acessado somente por aqueles encarregados na empresa em tomar as devidas providências.
Ao final de um pentest
➢ Para auxiliar o trabalho da equipe, esta deve seguir uma metodologia de como será o pentest.
➢ Documentação, fases, ações, processos, entradas e saídas.➢ Exemplos de metodologias existentes:
➢ OSSTM;➢ ISSAF;➢ OWASP;
➢ Com o tempo a equipe pode desenvolver sua própria metodologia de pentest.
Metodologias
Agenda➢ Apresentação➢ Capítulo 01: Redes de Computadores➢ Capítulo 02: Criptografia➢ Capítulo 03: Segurança da Informação➢ Capítulo 04: Testes de Intrusão
Próximo encontro➢ 19/06:
➢ Tira dúvidas!!!➢ Tira dúvidas != Revisão → Não dá tempo revisar tudo. =/
➢ 20/06:➢ NPC
Obrigado!