PROFISSÃO PENTESTER (ETHICAL HACKER) marcosflavio.com.br

Transcrição

1 PROFISSÃO PENTESTER (ETHICAL HACKER) marcosflavio.com.br

2 Marcos Flávio Araújo Assunção Formação: Mestre em Sistemas de Informação pela Universidade Fumec Especialista em Redes de Computadores pela ESAB Especialista em Docência para o ensino profissional pelo Senac Minas Graduado em Engenharia de Software pelo Centro Universitário UNA Atuação: Professor universitário de cursos de graduação e pós-graduação no Centro Universitário UNA Consultor e palestrante em Segurança da Informação

3 Marcos Flávio Araújo Assunção

4

5 Pentesting x Cybersecurity

6 O que é Cyber Security e qual sua relação com Pentesting?

7 Alguns problemas comuns em CyberSecurity (fonte: govtech.com)

8 Penetration Test (Teste de Invasão) É a principal função de um Pentester Consiste em utilizar técnicas de Hackers em testes de stress da segurança de redes e sistemas Invadir para proteger Uma real necessidade na atualidade. Ainda é uma profissão que está em crescimento exponencial

9 Trabalhando com Pentest O que um pentester sênior deve fazer?

10 Problemas mais comuns encontrados por quem quer entrar na área de Pentesting Falta de profissionalismo Ausência de um curso superior na área de redes e/ou desenvolvimento. Pouca experiência em carteira Falta de uma certificação na área Conhecimento básico insuficiente.

11 Níveis de um Pentester / Ethical Hacker Nível 1 Júnior Tool based Penetration Tester: Esse profissional é aquele que somente conhece as ferramentas básicas para o pentest, não sendo capaz de desenvolver suas próprias técnicas e ferramentas. Muitas vezes aprenderam as técnicas em treinamentos específicos. Esse é o nível exigido pela maioria das certificações de Pentest. Nível 2 - Pleno Coding based Penetration Tester: Esse profissional é aquele que desenvolve suas próprias ferramentas e scripts para a realização dos penetration tests, mas ainda utiliza muitos recursos já prontos (como o Metasploit) para acelerar o processo de teste das vulnerabilidades. Necessita de conhecimentos pelo menos em algoritmos e linguagens básicas de programação. Nível 3 Sênior Vulnerability Researcher: Ao invés de realizarem PenTests, muitos hackers éticos com conhecimento mais avançado preferem debugar o funcionamento de softwares e protocolos em busca de falhas do tipo 0-day, e muitos são contratados por empresas com essa finalidade. O Google por exemplo costuma dar prêmios a quem descobre falhas no Chrome.

12 Pentester junior O maior erro do pentester iniciante é não reforçar sua base de conhecimento Além de saber realizar o pentest em si, é necessário conhecer bem: - Sistemas operacionais - Protocolos de rede - Configuração de serviços de rede - Recursos de Firewalls e IPS - Criptografia - Normas de segurança da Informação (ISO 27001/27002) - Outras normas/regulações: PCI-DSS, OSSTMM, etc.

13 Pentester pleno

14 Vulnerability Researcher (Sênior)

15 Entidades e modelos de padronização

16 Payment Card Industry Data Security Standards (PCI-DSS)

17 Padrões para realização de PenTests

18 Organizações que possuem projetos e processos para otimização de um Pentest

19

20 Vagas de emprego Ganhando $ com Pentesting

21 Fonte: indeed.com

22

23

24 Vagas p/ Pentesters

25

26 Linkedin: uma das melhores opções para encontrar vagas de Pentest

27 Certificações Certificações em Ethical Hacking / Pentest

28 Fundamentos de Ethical Hacking EXIN

29 Certified Ethical Hacking - ECCOUNCIL

30 Global Information Assurance Certification GIAC Certified Penetration Tester

31 Global Information Assurance Certification GIAC Web Application Pentester

32 OSCP Offensive Security (OFFSEC)

33 Freelancing Ganhando $ com Pentesting

34 FREELANCER.COM

35 FREELANCER.COM

36 Bug Bounty Ganhando $ com Pentesting

37 Bug Bounty dá dinheiro?

38 BUGCROWD.COM

39 BUGCROWD - LastPass

40 HACKERONE.COM

41 UBER BUG BOUNTY

42 Considerações finais Dicas de como se profissionalizar na área

43 Considerações finais Aprenda, aprenda, aprenda. De tudo um pouco. Lembre-se que um pentester deve ser primeiramente um clínico geral. Se profissionalize: faça uma pós, treinamentos em segurança ou tire uma certificação. Ofereça serviços de freelancing para ganhar experiência. Abra sua própria empresa de prestação de serviços.

44 Obrigado! Perguntas? Informações de contato: Linkedin: br.linkedin.com/in/mflavio2k Facebook: Treinamento:

45 PROFISSÃO PENTESTER (ETHICAL HACKER) marcosflavio.com.br