Segurança Livre Análise de Vulnerabilidades usando Ferramentas Livres Alexandro Silva III Festival de SW.

Apresentação em tema: "Segurança Livre Análise de Vulnerabilidades usando Ferramentas Livres Alexandro Silva III Festival de SW."— Transcrição da apresentação:

1 Segurança Livre Análise de Vulnerabilidades usando Ferramentas Livres Alexandro Silva penguim@gmail.com http://penguim.wordpress.com III Festival de SW Livre da Bahia - 26/08/06

2 Curriculum ● Idéia Digital ● Nexos Information Security ● Comtech Informática ● Pizza Hut ● Petrobrás ● Caixa Econômica Federal ● Servnet Membro dos times de: ● Ubuntu-br-segurança ● Ubuntu-br-tradutores ● Ubuntu-br-doc ● Autores do Planeta Ubuntu Brasil III Festival de SW Livre da Bahia - 26/08/06

3 Provérbio “Quando usar o elevador e chegar no topo não se esqueça de abertar o botão para que outras possam subir tambem.” III Festival de SW Livre da Bahia - 26/08/06

4 Segurança Livre ● A Segurança está na moda ● Muito do que vem ocorrendo atualmente mostra a importância e o valor da informação ● A mídia constantemente alerta sobre virus, trojans III Festival de SW Livre da Bahia - 26/08/06

5 Segurança Livre Premissas básicas da Segurança da Informação: ● Disponibilidade ● Integridade ● Confiabilidade III Festival de SW Livre da Bahia - 26/08/06

6 Segurança Livre Rápido e Caceteiro: ● Scanner de Vulnerabilidade ● Descobre falhas ● Utiliza um Metasploit da vida ● Welcome!!!! III Festival de SW Livre da Bahia - 26/08/06

7 Segurança Livre ● Atitude Pró-Ativa ( Updates, Antivirus ) ● Firewall Robusto ● IDS/IPS ● e........... III Festival de SW Livre da Bahia - 26/08/06

8 Segurança Livre AUDITORIA CONSTANTE!!!!!!! III Festival de SW Livre da Bahia - 26/08/06

9 Segurança Livre ● A Análise de Vulnerabilidades faz parte da maioria dos frameworks de Governança de Segurança da Informação III Festival de SW Livre da Bahia - 26/08/06

10 Segurança Livre Análise de Vulnerabilidade ● O que é? ● Por que fazer? ● Quando e como fazer? III Festival de SW Livre da Bahia - 26/08/06

11 Segurança Livre ● Visa detectar falhas em diversos componentes como: aplicações, softwares, equipamentos, sistemas operacionais, dentre outros. III Festival de SW Livre da Bahia - 26/08/06

12 Segurança Livre O objetivo é reduzir o risco em relação aos incidentes de segurança. Seja na rede interna quanto na externa é necessário detectar essas possíveis falhas e corrigí-las para garantir que a rede esteja em um nível de segurança adequada. III Festival de SW Livre da Bahia - 26/08/06

13 Segurança Livre ● Periodicamente. ● Essa análise pode ser feita local e/ou remota. ● Divide-se em dois tipos: Ativa - Encontra-se e corrigi-se as falhas, emitindo relatórios apenas do que foi feito. Passiva - Encontra-se as falhas e emite-se relatórios para que o cliente se encarregue de corrigir III Festival de SW Livre da Bahia - 26/08/06

14 Segurança Livre Ferramentas Proprietarias vs Ferramentas Livres III Festival de SW Livre da Bahia - 26/08/06

15 Segurança Livre Ferramenta Proprietaria ● ISS Prós: ● Robustez; ● Outras features. Contras: ● Alto custo; ● Requisitos recomendado fora da realidade. III Festival de SW Livre da Bahia - 26/08/06

16 Segurança Livre Requisitos recomendados para a instalação do Internet Scanner da ISS: Processador: Xeon Dual 2.4 ghz Memoria: 1 Gb Sistema de arquivos: NTFS Sistema Operacional: W2k, W2k3, WinXP SP1 III Festival de SW Livre da Bahia - 26/08/06

17 Segurança Livre Ferramenta Livre ● Nessus Prós: ● Gratuito ● Arquitetura Cliente/Servidor ● Servidor roda em FreeBSD, *nix ● Cliente tambem roda em Windows Contra: ● Não possuir algumas features extras III Festival de SW Livre da Bahia - 26/08/06

18 Segurança Mini Howto ● Instalação ● Configuração Inicial ● Brincando ● Relatório III Festival de SW Livre da Bahia - 26/08/06

19 Segurança Livre Instalação ● sudo apt-get install nessus nessusd ou no ambiente gráfico usando o Synaptic Configuração Inicial ● Acessar o site do Nessus (www.nessus.org) e clicar no link REGISTER para cadastrar-se e obter o serial que irá permitir o download dos pluginswww.nessus.org III Festival de SW Livre da Bahia - 26/08/06

20 Segurança Livre Configuração Inicial ● Exemplo: sudo nessus-fetch --register 0B49-AD6B- F5CD-5EA0-4E24 ● Use sudo nessus-adduser para criar um usuário ● Inicie o nessus com o comando sudo nessusd & III Festival de SW Livre da Bahia - 26/08/06

21 Segurança Livre Brincando ● Execute o cliente nessus com o comando nessus & ou através do ambiente gráfico ● Informe o usuário e senha cadastrado ● Na aba Target você informa o host alvo e inicia o scan III Festival de SW Livre da Bahia - 26/08/06

22 Segurança Livre Relatório III Festival de SW Livre da Bahia - 26/08/06

23 Segurança Livre Links importantes ● planeta.ubuntubrasil.org ● wiki.ubuntubrasil.org ● www.nubuntu.orgwww.nubuntu.org http://penguim.googlepages.com/segurancalivre.odp III Festival de SW Livre da Bahia - 26/08/06

24 Segurança Livre Agradecimentos ● PSL-BA ● Ubuntu-BA ● Ubuntu-MG III Festival de SW Livre da Bahia - 26/08/06