Treinamento. "Contra defesa cibernética Teoria e Prática" Preparado por: Eduardo Bernuy Lopes Consultor Sênior red.safe ISO Lead Auditor

Transcrição

1 Treinamento "Contra defesa cibernética Teoria e Prática" Preparado por: Eduardo Bernuy Lopes Consultor Sênior red.safe ISO Lead Auditor

2 1 Informações do Curso Data: A definir (Em breve); Material entregue: Pendrive contendo todos os módulos do curso com caderno e caneta; Carga Horária: 40 horas presenciais (5 dias seguidos de treinamento); Horário: 09:00 às 18:00; Número de vagas para o curso: 25; Cidade: São Paulo; Número de alunos por computador: 1; Investimento por aluno: R$ 3.500,00 2 Objetivo O objetivo deste curso é, através de partes teóricas e principalmente práticas, prover a capacitação dos participantes em cibersegurança, por meio de práticas que envolvem a exploração de vulnerabilidades e ataques que ocorrem frequentemente às redes de computadores., com foco em ataques de vulnerabilidades Web e exploração local de rede. Por meio de atividades interativas com os participantes, o objetivo é introduzir alguns testes de penetração, visando analisar os impactos e consequências causados pelos mesmos. Assim, o curso prevê o reconhecimento do valor intrínseco das informações para as organizações e para os indivíduos e relaciona os principais riscos envolvidos num ambiente de informação. As atividades serão realizadas com o auxílio da suíte de ferramentas providas pela distribuição Linux Kali e ferramentas comerciais em um ambiente isolado e propício para o desenvolvimento de tais atividades. No final do treinamento o objetivo principal é tornar o participante capaz de executar penetration testing em ambientes reais podendo assim identificar de maneira positiva as reais brechas de segurança do ambiente em questão. Data: 10/11/2015 2/5

3 3 Público Alvo Esse treinamento é voltado para analistas, técnicos e administradores de ambientes/redes que desejam obter conhecimentos técnicos sobre penetration testing no que se diz respeito a identificar, analisar e explorar vulnerabilidades de um ambiente Web e suas aplicações. Tornando o participante capaz de executar penetration testing em ambientes reais p 3.1 Requisitos que serão utilizado no ambiente / infraestrutura Um servidor para hospedar e compartilhar as máquinas virtuais e outros arquivos necessários ao andamento do curso. Uma máquina ( notebook ou desktop) para cada participante com quantidade desejável de 8GB de memória RAM para execução das máquinas virtuais necessárias e entrada de USB 2.0 ou 3.0; Sistema operacional Windows a partir da versão 7; Usuário com nível administrador nas máquinas; Conexão com a internet independente sem passar por nenhum Firewall interno; Software VMWare Worksatation ou VirtualBox instalado e executando corretamente; 2 (dois) projetores. 3.2 Requisitos para os participantes Conhecimento avançado em sistema operacional Linux (nível de administrador); Conhecimento avançado sobre virtualização na plataforma Virtualbox ou VMWare; Conhecimento sólidos em uso da internet e Browsers (buscas, acessos, plug-in e etc); Conhecimentos básicos de pelo menos uma linguagem de programação ou script; Data: 10/11/2015 3/5

4 4 Ementa do Curso Segue abaixo a ementa que será utilizada na semana do treinamento. Lembrando que o objetivo principal desse curso é mostrar na prática técnicas de exploração e escalação de privilégios. 1 Testes de Vulnerabilidades - Teoria Objetivo Tipos de Ataques Penetration Testing... Black Box... Grey Box... White Box... 2 Testes de Vulnerabilidades Prática Objetivo Footprint O que devo Procurar? Por onde começar? Consultando Servidores DNS Consultando de Rotas de Pacotes Consultando Websites Antigos Utilizando WebSpiders Informações do NetCraft Utilizando o Google Fingerprint Getting Information with NMAP Portas e SO Testes de Vulnerabilidades Ferramentas e Exploração de Vulnerabilidades Acunetix Web Scanner Site Crawler Target Finder Subdomain Scanner Blind SQL Injection HTTP Editor HTTP Sniffer HTTP Fuzzer... Data: 10/11/2015 4/5

5 Authentication Tester Compare Results Web Services Scanner Web Service Editor Scanning Profiles Ataques Inclusão de Arquivos Ataques Directory Traversal Ataques Local Download File Mantendo acesso Shell Script Ataques SQL Injection (blind or not) SQLMAP Havij Havij Ataques Manipulação de Dados Tamper Data Manipulação de JavaScript Hackbar Keylogger Criação e instalação no Alvo Ardamax Gerando o programa CLIENT Instalação Remota na Rede FUD Analisando LOGs Criptografia e Hashs Exemplo de HASH Formas de quebrar HASH (descriptografar) Serviços Online Pagos Servidores Amazon GPUs... Data: 10/11/2015 5/5