Apresentação acunetix   scanner ambiente web - abril2012 [modo de compatibilidade]
Upcoming SlideShare
Loading in...5
×
 

Apresentação acunetix scanner ambiente web - abril2012 [modo de compatibilidade]

on

  • 1,596 views

Apresentação solução ACUNETIX - Scanner de Vulnerabilidades em Aplicações Web

Apresentação solução ACUNETIX - Scanner de Vulnerabilidades em Aplicações Web

Statistics

Views

Total Views
1,596
Views on SlideShare
1,596
Embed Views
0

Actions

Likes
0
Downloads
23
Comments
0

0 Embeds 0

No embeds

Accessibility

Categories

Upload Details

Uploaded via as Adobe PDF

Usage Rights

© All Rights Reserved

Report content

Flagged as inappropriate Flag as inappropriate
Flag as inappropriate

Select your reason for flagging this presentation as inappropriate.

Cancel
  • Full Name Full Name Comment goes here.
    Are you sure you want to
    Your message goes here
    Processing…
Post Comment
Edit your comment

Apresentação acunetix   scanner ambiente web - abril2012 [modo de compatibilidade] Apresentação acunetix scanner ambiente web - abril2012 [modo de compatibilidade] Presentation Transcript

  • ACUNETIX Scanner para Identificar Vulnerabilidades em Aplicações WEB Março 2012 SUNLIT TECHNOLOGIES Representante Acunetix no BrasilCombating the web vulnerability threat www.acunetix.com
  • GARTNER GROUP aponta a solução ACUNETIX como um dos líderes em ANÁLISE DE VULNERABILIDADE DE APLICAÇÕESConfira a posição de destaque ocupada pela solução ACUNETIX noQUADRANTE MÁGICO do GARTNER GROUP (dezembro de 2011) em referencia ao temaDAST (Dynamic Application Security Testing) ou Análise de Vulnerabilidades em Aplicações. Combating the web vulnerability threat www.acunetix.com
  • Por que sua empresa pode se tornar alvo dehackers ?Porque voce disponibiliza seu website 7x24 para atender seus clientes e…os hackers sabem disso !Além disso….os hackers gostam bastante de se divertir…e aproveitam o tempo livre para :. – Obter acesso a dados sensitivos (de sua empresa, de seus fornecedores e de …seus clientes…..) – Descaracterizar websites – Lhe ´presentear´ com mensagens PHISHING para obter seus dados bancários – ´Entupir´ seus links de acesso pela distribuição de conteúdo ilegal – Manipular de forma maliciosa seus aplicativos WEB Combating the web vulnerability threat www.acunetix.com View slide
  • O que sua empresa perde sendo ´hackeada´ ?• Confidencialidade de informações relativas ao negócio• Perda de confiança e reputação perante seus clientes e fornecedores• Imagem da sua empresa é ´arranhada´• Suas operações podem ficar ´fora-do-ar´• Perda de faturamento e receitas• Implicações legais e multas Combating the web vulnerability threat www.acunetix.com View slide
  • Porque escolher um scanner ambiente WEB ?• Voce pode manter aberta a Port 80• Um firewall de aplicação WEB não é suficiente para barrar intrusos• Firewalls, IDS and IPS não tem proteção suficiente• Acesso direto a servidores corporativos• Aplicações feitas in-house não são auditadas Combating the web vulnerability threat www.acunetix.com
  • Como o Scanner-Acunetix funciona…..• Detecta SQL Injection e XSS – entre outras vulnerabilidades..• Audita websites de forma manual e automatica• Estado da arte na tecnologia de rastreamento de vulnerabilidades – Utiliza Engine (CSA) Client Script Analyzer• Suporte a Web 2.0, JavaScript / Ajax, JQuery com engine CSA• Abordagem com métodos Heuristicos• Relatórios detalhados• Suporte a linha de comando Combating the web vulnerability threat www.acunetix.com
  • Diferenciais técnicos da solução ACUNETIX• Detecção de erro 404• Manipula formulários CAPTCHA• Suporta single-sign-on e mecanismos de tokens• Suporta múltiplos SCANS a partir de mesma máquina (versão 8 – fev 2012)• Permite a manipulação de parametros da URL (versão 8 – fev 2012)• Identifica uma nova classe de vulnerabilidade: HTTP PARAMETER POLLUTION (versão 8 – fev 2012)• Permite acesso direto ao código das aplicações WEB através da tecnologia ACUSENSOR Combating the web vulnerability threat www.acunetix.com
  • O que é a funcionalidade ACUSENSOR ?• Vai além do escaneamento CAIXA-PRETA• Verifica a configuração da tecnologia WEB• Menor número de falso-positivos• Sem regras de regravação Url Combating the web vulnerability threat www.acunetix.com
  • A tecnologia AcuSensor gera informações avançadas para ´debug´ de vulnerabilidadesMostra qual a query QL vulnerável aoSQL Injection E indica exatamente a linha de Código onde a vulnerabilidade está Localizada. …. Combating the web vulnerability threat www.acunetix.com
  • Interface amigávelFacilidade no acompanhamento de status das vulnerabilidades Combating the web vulnerability threat www.acunetix.com
  • Testes de penetração avançados em ambiente WEB• Testes de penetração avançados incluem : – HTTP Editor – HTTP Sniffer – HTTP Fuzzer – Blind SQL injector – Authentication Tester Combating the web vulnerability threat www.acunetix.com
  • Uma solução de segurança completa• Acunetix verifica : – Configuração do Web server – Configuração da tecnologia Web (.NET, PHP etc) – Port scanner & Network Alerts Combating the web vulnerability threat www.acunetix.com
  • Geração de Relatórios• Relatórios de compliance e auditoria - OWASP-Top 10 - PCI-DSS entre outros• Relatórios para o desenvolvedor• Relatórios comparativos• Exporta relatórios para PDF , HTML, etc Combating the web vulnerability threat www.acunetix.com
  • Apresentação Técnica• Como agem os hackers? • Configuração - Acunetix WVS• O que é um Scanner de ambiente Web ? – Application Settings• Acunetix WVS – Perfis para escaneamento – Scan Wizard – Resultados do Escaneamento – Relatórios do Escanemanto• Funcionalidades - Acunetix WVS – Target Finder – Site Crawler – Tecnologia AcuSensor – Port Scanner & Network Alerts – HTTP Editor – HTTP Fuzzer – HTTP Sniffer – Blind SQL Injector – Authentication Tester – Compare os resultados Combating the web vulnerability threat www.acunetix.com
  • Como agem os hackers ? • Hackers usam um plano sistemático de ação : 1. Estudam a infraestrutura operacional (sistema operacional e tipos de servidores) . 2. Pesquisam o website/ aplicação WEB 3. Identificam a presença de vulnerabilidades 4. Planejam e executam o ataque• Acunetix WVS atua de forma contínua na identificação devulnerabilidades na aplicação WEB e/ou na tecnologia WEB (PHP,Apache,etc) e/ou um determinado servidor WEB e/ou ainda qualquerserviço de rede (DNS, FTP, etc) que roda no servidor WEB. Combating the web vulnerability threat www.acunetix.com
  • Como os hackers planejam seus ataques.... Combating the web vulnerability threat www.acunetix.com
  • Técnicas de hacking mais ativas• Métodos estáticos conhecidos: • Métodos dinamicos desconhecidos : – Explorar vulnerabilidades em – SQL Injection aplicações Web – Cross-site Scripting – Directory & Link Traversal – Enurmeração de diretórios – File Inclusion – Exposição de código-fonte – Explorar vulnerabilidades em – Execução de código servidores Web – Common File Checks – Manipulação de parametros – Explorar vulnerabilidades em – Criação ou deleção de arquivos de tecnologia Web (ex : PHP) forma arbitrária – CRLF Injection – Explorar vulnerabilidades em serviços – Path Truncation de rede (ex: DNS, FTP, SMTP) – Engenharia reversa de Java Applet – Session Hijacking – Ataques de autenticação – Google Hacking Database A solução Acunetix WVS identifica todos os métodos acima descritos e muito mais.... Combating the web vulnerability threat www.acunetix.com
  • O que é um Scanner de ambiente Web ?• Hacking são formas de ataques maliciosos contra aplicações-Web. Qualquer usuário visitando um website pode ser um hacker em potencial ... Por isso, uma abordagem de prevenção é a primeira linha de defesa.• Um Scanner de ambiente WEB é uma ferramenta automática de segurança que identifica vulnerabilidades em aplicações WEB ou tecnologias WEB ou servidores-WEB. Combating the web vulnerability threat www.acunetix.com
  • A que se propõem a soluçãoWVS-ACUNETIX ?• Acunetix WVS é um Scanner-WEB que possibilita efetuar checagens automáticas e manuais na identificação de vulnerabilidades .• Acunetix WVS usa métodos dinamicos para replicar ataques de hackers utilizando maneiras não-destrutivas. Acunetix WVS é uma ferramenta essencial para identificar vulnerabilidades em suas aplicações Web e servidores-Web. Combating the web vulnerability threat www.acunetix.com
  • Acunetix WVS Acunetix WVS é um Scanner que utiliza metodologia heurística permitindo escaneamento & auditoria de forma automática e manual. Pela replicação de ataques hackers de forma não- não- destrutiva - Acunetix-WVS Acunetix- é uma ferramenta essencial para manter seu ambiente livres de hackers & pragas digitais. digitais.Combating the web vulnerability threat www.acunetix.com
  • Como o Acunetix-WVS efetua abusca por vulnerabilidades• Fase 1 - Processo de ´rastejamento´ para descobrir vulnerabilidades• Fase 2 - Escaneamento Automático• Fase 3 - (opcional) – Testes manuais específicos• Fase 4 - Geração Relatórios Combating the web vulnerability threat www.acunetix.com
  • ACUNETIX – WVSResumo das principais funcionalidades - AcuSensor Technology - Port Scanner & Network Alerts - Blind SQL Injector Combating the web vulnerability threat www.acunetix.com
  • Tecnologia AcuSensor• Nova tecnologia que permite a identificação de novas vulnerabilidades em aplicações que vai além do tradicional escaneamento ´caixa-preta´ enquanto gera menos ´falso-positivos´.• ACUSENSOR indica exatamente onde está a vulnerabilidade no código e lhe mostra informações relevantes tais como – Stack-Trace (acompanhamento linha-a-linha do código), linha do código com problema e nome do arquivo. Combating the web vulnerability threat www.acunetix.com
  • Port Scanner & Network Alerts• Executa scan de portas no servidor Web – e testes de segurança nos serviços que rodam nessas portas – tais como : DNS open recursion tests, configuração incorreta em proxy-servers, open relay SMTP servers - e muito mais...• Escreva o seu próprio teste de segurança usando a tecnologia Microsoft Active Scripting e use o nosso script como referencia. Combating the web vulnerability threat www.acunetix.com
  • Blind SQL Injector• Ideal para testes de penetração , o Blind SQL injector é uma ferramenta de extração de dados automatizada para realização de testes manuais e melhor depuramento da vulnerabilidade SQL-Injection Combating the web vulnerability threat www.acunetix.com
  • Funcionalidades adicionais …• Funcionalidade de Pausa e Recomeço do Escaneamento• Opção para marcar alertas como falso-positivo• Suporte ao NTLM V2• Scanner agora pode agregar a lista de erros incomuns• Possibilidade para localizar rapidamente uma vulnerabilidade pelo uso de filtros• Todas opções de escaneamento estão agora disponiveis em Scheduler Combating the web vulnerability threat www.acunetix.com
  • Alguns de nossos clientes no BRASIL Combating the web vulnerability threat www.acunetix.com
  • Muito obrigado pela sua atenção !Referencias adicionais :Acunetix Blog http://www.acunetix.com/blogFaça um tour para conhecer o WVS-Acunetix http://www.acunetix.com/vulnerability-scanner/features.htmLista de verificações feitas pelo WVS-Acunetix http://www.acunetix.com/support/vulnerability-checks.htm Entre em contato conosco Sunlit Advanced Technology www.sunlit.com.br 11-91362957 - Antonio Carlos Scola acscola@sunlit.com.br Combating the web vulnerability threat www.acunetix.com