(FINANCIADO PELA UNIÃO EUROPEIA) LOTE 8: ITEM 4 PENETRATION TESTING USING OSSTMM. (Testes de Penetração USANDO OSSTMM)

Transcrição

1 República de Mçambique Ministéri das Finanças CEDSIF - Centr de Desenvlviment de Sistemas de Infrmaçã de Finanças UGEA-Unidade Gestra Executra das Aquisições UNIÃO EUROPEIA (FINANCIADO PELA UNIÃO EUROPEIA) LOTE 8: ITEM 4 Template d Terms de Referência para a cmpnente de Frmaçã (Testes de Penetraçã USANDO OSSTMM) Terms de Referência para a Frmaçã as técnics d Serviç de Cntrl Intern SCI Serviç de Cntr Intern - Divisã de Fiscalizaçã e Auditria à Gestã

2 2 1. Nme d Curs Objectivs Cnteúd d curs e respectiva carga hrária Númer de participantes Carga hrária d curs Qualificações Gerais Qualificações específicas d cnsultr (pessa clectiva) Qualificações específicas ds frmadres (agentes da pessa clectiva) Cndições de apetrech da Sala de aulas de frmaçã Outras Cndições especiais Resultads esperads desta acçã de frmaçã Lcal de realizaçã d curs... 11

3 3 1. Nme d Curs Testes de Penetraçã USANDO OSSTMM 2. Objectivs Aprender e praticar as técnicas usadas para Teste de Penetraçã as sistemas e Ethical Hacking. Realizar Auditrias de Segurança, permitind medir e quantificar nível de segurança ds sistemas de TI. 3. Cnteúd d curs e respectiva carga hrária Carga hrária 40 hras Cnteúd 1) ISECOM e Metdlgias Intrduçã a ISECOM Regras de Engagement Regra de ur O Prcess Mapa de segurança Análise de risc Secções, Móduls e tarefas 2) Cnstruind Ambiente de Teste Cnstruind a máquina Windws Cnstruind a máquina Linux Instaland as ferramentas e sftware Ligand as duas máquinas 3) Vulnerabilidades Mnitria e Detecçã de Intrusã (Sua Falta) Arquitectura da Rede

4 4 Sistema de Ficheirs da Rede NT Prts (NetBIOS e Partilha de Ficheirs) NT Sem Cnexã Passwrds Pbres e IDs ds Utilizadres Administraçã ds Serviçs Remts Prcediments de Chamadas Remtas (RPC) Sendmail Serviçs Iniciads pr padrã Simple Mail Transprt Prtcl (SMTP) Inundaçã d Buffer (Buffer Overflws) Buracs da aplicaçã (Applicatin Hles) Implementaçã d BIND Interface Cmum d Gateway (CGI) Serviçs d text abert (Clear Text Services) Cntas Padrã Serviç d Dmíni de Nmes (DNS) Permissões ds Ficheirs FTP and Telnet ICMP, IMAP & POP Mdems Simple Netwrk Management Prtcl Servidres da Web Viruses e códig escndid 4) Investigaçã na Internet Mtres de prcura na Internet Servidres WHOIS 5) levantament da rede (Netwrk Surveying) Prcuras DNS Ping sweeps Tracerute 6) Serviçs de Identificaçã de Sistema Sistema de Enumeraçã (Enumerate systems) Enumeraçã de Prtas (Enumerate prts) Identificaçã de Serviçs (Identify services)

5 5 Identificaçã de Sistemas (Identify systems) 7) Sniffers Usand Mnitr da Rede n Windws Ethereal / Wireshark Aniffit Ettercap TCPdump WinDump 8) Engenharia Scial Intrduçã O Telefne Suprte Técnic Disgruntled custmer Ajuda n Lgging (Get help lgging in) Dumpster Diving Infrmaçã Desktp 9) War-Dialling Intrduçã Ataques Metds Ferramentas e Sftware 10) Penetraçã Interna Intrduçã Cenaris Evil Cnsultant Disgruntled emplyee Dishnest service staff Mapead de Rede. Banner Grabbing 11) Enumeraçã NT/2K Utilitáris da Windws (Built-in Windws utilities)

6 6 The Null share Third Party Tls Unix Finger Cmmand Rtls Queries Shwmunt RPCInf SNMP Brwsing 12) Descberta de Vulnerabilidades (Vulnerability Scanners) Intrduçã Cerberus Internet Scanner LANguard Netwrk Scanner Nessus 13) Descberta de Passwrd (Passwrd Crackers) Intrduçã Brutus L0pht Crack Jhn the Ripper 14) Sistema de Dtecçã de Intrusã Intrduçã Tips Metdlgias Placement Regras Lgging Cncerns 15) Firewalls Intrduçã Stateless Packet Filters Prxy Firewalls Stateful Packet Filters DMZ NAT

7 7 Hardening Tplgias Evading Firewalls 4. Númer de participantes 2 participantes 5. Carga hrária d curs 40 hras 6. Qualificações Gerais A empresa deverá ser um centr ficial de frmaçã (Training Center) ds curss de hacking aplicad, teste de penetraçã usand OSSTMM, u certificada pel mens pr uma ds seguintes rganisms: ISACA, PECB, ITG Security Testing Ltd. A empresa deve ser recnhecida cm frmadr pr ISACA, IRCA, ITG Security Testing Ltd u utras instituições da área de auditria e segurança infrmática. A empresa deverá garantir e dispnibilizar a frmaçã de frma prática; N final de cada um ds curss, a empresa deverá frnecer um certificad de participaçã ficial certificad pr utrs rganisms: ISACA, IRCA. PECB, ITG Security Testing Ltd, etc. A empresa deverá frnecer de frma detalhada td cnteúd prgramátic que se assemelhe a aqui dispnibilizad. A empresa deve garantir exercícis prátics de seguiment e técnicas de implementaçã da nrma e de simulaçã de auditria. A empresa deve estar certificada para realizar exames de certificaçã d curs hacking. Deve entreguar as participantes um livr cm cnteud da frmaçã e exempls prátics e ferramentas de sftware (nã se refere a Pwer pints), que vã auxiliar na aplicaçã prática ds cnteúds e n acmpanhament da frmaçã. Dever incluir pel mens um Estud de Cas real. Apresentar uma cnexã cm mund real usand situações que pssam acntecer n dia-adia de uma equipe. 6.1 Qualificações específicas d cnsultr (pessa clectiva) As qualificações desejadas para Frmadr (entenda-se cm Pessa Clectiva) sã as que a seguir se indicam cm base n Regulament aprvad pel Decret 15/2010, de 24 de Mai: i.qualificaçã Jurídica Certidã de regist cmercial e escritura pública u dcuments equivalentes; Dcuments cmprvativs d preenchiment de utrs requisits estabelecids em legislaçã especial param desempenh da actividade; Declaraçã d cncrrente de que nã se encntra m situaçã de impediments e cnflits de interesses. Prject d cnsórci u dcument d cnsórci já cnstituíd, se aplicável.

8 8 ii.qualificaçã Ecnómic-Financeira Declaraçã periódica de rendiments; Declaraçã anual de infrmaçã cntabilística e fiscal; Balançs patrimniais e demnstrações cntabilísticas ds últims três exercícis fiscais, apresentads ns terms da lei; Declaraçã de que nã há pedid de falência cntra Auditr e de que nã requereu cncrdata; Facturaçã média anual ns três últims exercícis fiscais de valr igual u superir a valr indicad n quadr abaix, para cada lte a que fr a cncrrer: Ltes Item Nme Curs Facturaçã Média Anual para cada Lte (MT) 1 ITIL V3 Fundatin Bridge Certificate Lte 1 Lte 2 Lte 3 Lte 4 Lte 5 2 CMMI: Intrductin t CMMI fr Develpment v ISO/IEC Fundatin 4 ISO Awareness Training - Business Cntinuity Management 5 ISO Business Cntinuity Management Auditr/Lead Auditr Training Curse 6 ISO Internal Auditing Curse - Business Cntinuity Management Systems. 7 Sistemas de Gestã de Qualidade ISO 9001: Implementaçã e Avaliaçã 1 Gestã de Prcesss de Negócis 2 Gestã de Qualidade para Gestres Executivs 3 Gestã de Prjects de TI 4 PMI Risk Management Prfessinal (PMI RMP) 1 Arquitectura e Design de Prjects Java 2 Gestã de Requisits 3 Gerenciament Ágil de Prjects de Sftware cm SCRUM 4 ISTQB Fundatin 1 VMware vsphere 5 - Install, Cnfigure, Manage and Trubleshting 2 Sistemas de Clud e Virtualizaçã (vclud Directr) 3 Cntinuidade de Negócis/Business Cntinuity Planning-BCP 4 Administraçã da Sluçã SNAPPROTECT 5 Infraestrutura e Gestã de Data Centers 1 CCNA-I, II, III, IV 2 CCNA-Security , , , , ,80

9 9 Lte 6 Lte 7 Lte 8 3 Red Hat JBss Applicatin Administratin I e II (JB248, JB348) 4 Red Hat System Administratin (RH124, RH255, RH135, RH413) 1 Oracle WebLgic Server 11g: Essentials and Advanced Administratin 2 Oracle OBIEE 1 Gestã de Aprvisinament 2 Gestã de Cmpras 3 Gestã, Recrutament e Desenvlviment de RH 4 Gestã e Estratégica de Frmaçã de RH 5 Gestã de Cmunicaçã e Imagem 6 Excel para Cntabilistas 7 Desenvlviment de Macrs Em Vba - Micrsft Excel 8 Gestã e Liderança 1 Certified Infrmatin Systems Security Prfessinal (CISSP) 2 Certified Infrmatin Systems Auditr (CISA) 3 Certified in Risk and Infrmatin Systems Cntrl (CRISC) 4 Testes de Penetraçã USANDO OSSTMM , , ,00 iii.qualificaçã Técnica Declaraçã d própri cncrrente cmprvativa da equipe prfissinal e técnica dispnível para a execuçã d bject da cntrataçã, acmpanhada ds respectivs currículs; Declaraçã emitida pr pessa de direit públic u privad cmprvativa de que, ns últims três ans cncrrente adquiriu experiência em actividades cm características técnicas similares às d bject da cntrataçã, cm indicaçã ds dads necessáris à sua verificaçã. iv.regularidade Fiscal Certidã válida de quitaçã emitida pela Administraçã Fiscal; Declaraçã válida emitida pela instituiçã respnsável pel sistema nacinal de segurança scial. O Cadastr válid substitui a apresentaçã ds dcuments acima mencinads cm excepçã de: Prject d cnsórci u dcument d cnsórci já cnstituíd, se aplicável, Facturaçã média anual ns três últims exercícis fiscais, Certidã válida de quitaçã emitida pela Administraçã Fiscal, Declaraçã válida emitida pela instituiçã respnsável pel sistema nacinal de segurança scial, Declaraçã emitida pr pessa de direit públic u privad cmprvativa de que, ns últims três ans cncrrente adquiriu experiência em actividades cm características técnicas similares às d bject da cntrataçã e a Declaraçã de que nã há pedid de falência cntra Cncrrente.

10 10 I. A empresa deverá garantir que as cndições de frmaçã (sala de frmaçã, infraestrutura de TI, material didáctic da frmaçã, etc.) estejam certificadas cm IRCA, ISACA, ITG Security Testing Ltd u utr mecanism de frmaçã de auditres de sistemas; II. Em matéria de cndições da sala de frmaçã a empresa deve criar as seguintes cndições: empresa deverá ser um centr ficial de frmaçã (Training Center) ds curss de hacking aplicad, teste de penetraçã usand OSSTMM, u certificada pel mens pr uma ds seguintes rganisms: ISACA, PECB, ITG Security Testing Ltd. III. A empresa deve ser recnhecida cm frmadr pr ISACA, IRCA, ITG Security Testing Ltd u utras instituições da área de auditria e segurança infrmática. IV. A empresa deverá garantir e dispnibilizar a frmaçã de frma prática; V. N final de cada um ds curss, a empresa deverá frnecer um certificad de participaçã ficial certificad pr utrs rganisms: ISACA, IRCA. PECB, ITG Security Testing Ltd, etc. VI. A empresa deverá frnecer de frma detalhada td cnteúd prgramátic que se assemelhe a aqui dispnibilizad. VII. A empresa deve garantir exercícis prátics de seguiment e técnicas de implementaçã da nrma e de simulaçã de auditria. VIII. A empresa deve estar certificada para realizar exames de certificaçã d curs hacking. IX. Deve entreguar as participantes um manual de qualidade cm cntend da frmaçã e exempls prátics, (nã se refere a Pwer pints), que vã auxiliar na aplicaçã prática ds cnteúds e n acmpanhament da frmaçã. X. Dever incluir pel mens um Estud de Cas real. XI. Apresentar uma cnexã cm mund real usand situações que pssam acntecer n dia-a-dia de uma equipe. 6.2 Qualificações específicas ds frmadres (agentes da pessa clectiva) O(s) frmadr(es) deve(rã) Pssuir pel mens três das certificações seguintes: CEH (Certified Ethical Hacker), ECSA (EC-Cuncil Certified Security Analyst), CHFI( Cmputer Hacking Frensic Investigatr), CISA, CISM, CISSP; há pel mens 7 ans. 6.3 Cndições de apetrech da Sala de aulas de frmaçã Quadr branc; Víde prjectr; Um pst de trabalh para cada participante; - Layuts e dimensões de salas adaptadas às necessidades específicas d curs; - Cmputadres e videprjectres prnts para utilizaçã cm api técnic On-Site -ambiente tecnlógic avançad cm virtualizaçã, clud cmputing e infraestrutura tecnlógica superir u igual a nssa. - Áreas de Cfee-Breaks e lazer cnfrtáveis, cm ferta de lanche e

11 11 almç de qualidade - Acess à Internet de alta Manuais de acmpanhament cntend tds móduls da frmaçã em frmat digital e impress. 6.4 A participaçã n cncurs está aberta, nas mesmas cndições de igualdade, para tdas as pessas clectivas elegíveis para efeit, individualmente u em cnsórci de prpnentes estabelecids em Mçambique u num ds Estads d ACP; Estads-Membrs da Cmunidade Eurpeia, países candidats ficialmente recnhecids cm tal pela Cmunidade Eurpeia u Estads membrs d Espaç Ecnmic Eurpeu; e qualquer utr país, sempre que acess recíprc à assistência externa tenha sid estabelecid. O acess recíprc n tcante as países mens avançads, ns terms da definiçã das Nações Unidas, é autmaticamente cncedid as membrs d CAD/OCDE. Ist n quadr d qual presente cncurs é financiad. 6.5 Para cada Lte d Cncurs serã cnvidads a apresentar prpstas n mínim 4 e n máxim 8 empresas candidatas. Se númer de empresas candidatas elegíveis e reunind s critéris para a sua selecçã fr inferir a mínim de 4, a Entidade Cntratante pderá cnvidar s candidats que preencheram s critéris, a apresentarem as suas prpstas. N cas de mais de 8 candidats elegíveis preencherem s critéris de selecçã a Entidade Cntratante fara a selecçã cm base n mair númer de frmações cm características técnicas similares às d bject da cntrataçã fram implementads pels candidats ns últims 3 ans. Os candidats pdem apresentar uma candidatura para cada lte, váris ltes u para tds s ltes. Os candidats serã adjudicads lte a lte e cada lte cnstituirá um cntrat separad. Candidaturas parciais ds ltes serã desqualificadas. 6.6 Outras Cndições especiais Flexibilidade nas datas de realizaçã d curs. Pssuir centr de exames para a Certificaçã OPST 7. Resultads esperads desta acçã de frmaçã Capacidade para auditar as vulnerabilidades, detectar ataques e prpr melhrias de segurança d sistemas infrmátics. Aptidões para cnfirmar u verificar as auditrias das cnfigurações d sistemas. 8. Lcal de realizaçã d curs Em qualquer parte d mund, incluind Mçambique Maput, Setembr de 2014 SCI Serviç de Cntr Intern - Divisã de Fiscalizaçã e Auditria à Gestã..

12 12