O documento apresenta um treinamento sobre testes de intrusão em aplicações web ministrado por Allan Pitter. Ele descreve sua experiência profissional, objetivos do treinamento, principais vulnerabilidades e técnicas de ataque, ferramentas utilizadas e realiza uma demonstração prática de diferentes tipos de ataques como XSS, SQL injection e força bruta.
3. About Me
Professor na BandTec
Consultor e Especialista em Segurança da Informação
20 anos de experiência em TI
Pentester
CSO, LPI, CEH, DRI, CISSP, OSCP
@allanpitter
facebook.com/allanpitter
br.linkedin.com/in/allanpitter
allan.pressi@bandtec.com.br
4. Gosta de:
Tecnologia, Sistemas Operacionais, Redes
de Computadores, Programação, Escrever
Artigos, Documentação, Gerenciar Equipes,
Desafios, Aprender, Compartilhar.
Características:
Autodidata, Analítico, Crítico, Competitivo,
Persistente, Decidido.
Quem é você?
6. allan.pressi@bandtec.com.br
18 mesesEsta é a duração média para descoberta de uma fraude,
segundo pesquisa efetuada pela Association of Certified
Fraud Examiners (ACFE).
Report to Nations – On Occupational Fraud and abuses / 2014 - www.acfe.com
12. Tecnologia
allan.pressi@bandtec.com.br
Desktop Firewall IDS/IPS Applications
SQL
Injection
Cross Site
Scripting
Pattern-
based Attack
Web Server
Known
Vulnerabilities
Parameter
Tampering
Cookie
Poisoning
Segurança da camada frontal não
para todos os vetores de ataque
Hacker
Users
Anti-
spoofing
DoS
Port
Scanning
Privileged users
(DBAs,developers)
Databases
Suspicious
Activity
Sensitive Data
Unauthorized
Access
13. allan.pressi@bandtec.com.br
Contas de E-mails (spammers)
E-commerce (cartões de créditos)
Base de Clientes (informações cadastrais)
Visibilidade e Abrangência (volume de acesso)
Hospedagem (fake pages)
Superfície de Ataque
14. OWASP - TOP 10 Vulnerabilidades Web
Injeção de código
Quebra de
Autenticação
XSS
Acesso Direto a
Objetos
Segurança
Configurações
Exposição de Dados
Sensíveis
Controle de Acesso
CSRF 9-Falhas Conhecidas
Redirecionamentos
allan.pressi@bandtec.com.br
1
2
3
4
8
7
6
5
9
10
15. Metodolodias de Pentest
allan.pressi@bandtec.com.br
Testes realizados com base nos 66
controles apresentados pelo OWASP
TESTING GUIDE (v3.0):
Information Gathering
Configuration Management Testing
Business Logic Testing
Authentication Testing
Authorization testing
Session Management Testing
Data Validation Testing
Denial of Service Testing
Web Services Testing
Ajax Testing
26. allan.pressi@bandtec.com.br
O que eu devo Aprender/fazer?
Automatizar a procura de falhas;
Cobrir a maior superficie possível;
Ter uma metodologia;
Auditar, auditar, auditar…
Fazer verificações manuais;
Conhecer as diversas técnicas;
Saber escolher um bom fornecedor;
Refazer tudo novamente.