pentester 2.pdf
- 2. www.eSecurity.com.br O que temos para hoje? Menu do dia: Introdução ao Pentest Pentest vs Auditoria Processos de um Pentest Relatório Linha do Tempo Mapa Mental Como valorizar um Teste de Intrusão
- 3. Processos de um Pentest Para iniciarmos o serviço de Pentest, devemos efetuar 3 processos obrigatórios: 1. Efetuar o processo de Varredura a) Realizar Scans de sistemas operacionais b) Identificar serviços e suas versões c) Identificar Redes e Ips d) Procurar por arquivos desprotegidos 2. Identificar e enumerar as vulnerabilidades a) Procurar por exploits b) Verificar portas abertas de forma insegura c) Procurar por serviços publicados de forma insegura d) Procurar por senhas fracas e) Procurar por erros de configuração e programação 3. Efetuar a exploração e documenta-las a) Explorar falhas encontradas b) Escalar privilégios c) Documentar acessos indevidos d) Efetuar Bypass de sistemas de proteção e) Enumerar e documentar falhas encontradas www.eSecurity.com.br
- 4. Relatório Linha do Tempo É onde você descreve o que fará e o que já fez. Siga rigorosamente esta linha do tempo para evitar processos ou problemas a você ou seu cliente. Não existe um modelo específico, pois, cada projeto deve seguir um modelo diferenciado. O importante é que no seu relatório de linha do tempo, tenha o que chamamos de transbordo, ou seja, são algumas horas adicionais que serão usadas caso você tenha problemas ao decorrer das previsões anteriores Esse transbordo não poderá ultrapassar 20% das horas do projeto. www.eSecurity.com.br
- 5. Mapa Mental O mapa mental lhe dará um caminho a ser seguido e poderá fazer com que você não se esqueça de utilizar determinadas técnicas ou ferramentas. www.eSecurity.com.br NMAP Service Detection Version Trace Version-All TIMING -T(0-5) Min/Max HostGroup
- 6. Relatório Linha do Tempo Modelo básico de Relatório de Linha do tempo www.eSecurity.com.br
- 7. Valorizando seu Teste de Intrusão Esse é um processo bem problemático, por vários motivos, porém, iremos listar : 1. Como efetuar a cobrança a) Projeto b) Por hora c) Por Dispositivo/Página 2. Problemas burocráticos a) Realizar um Pentest sem CNPJ b) Sistema de Tributação c) Certificações d) Indicações e) Modelo de Relatório www.eSecurity.com.br
- 8. E-mail: alan.sanches@esecurity.com.br Twitter: @esecuritybr e @desafiohacker Fanpage: www.facebook.com/academiahacker Chega por hoje www.eSecurity.com.br www.eSecurity.com.br