Professione Penetration Tester

6 Maggio 2011 - DefCON Italy - Professione Penetration Tester

Professione Penetration Tester

Emanuele Gentili Marco Rondini

sabato 7 maggio 2011


Chi sono ?

Emanuele Gentili

Tiger Security S.r.l. Amministratore Delegato

BackTrack Linux Project Leader

The Exploit Database Co-founder

Offensive Security Certifed Professional Trainer

http://www.tigersecurity.ithttp://www.backtrack-linux.orghttp://www.exploit-db.com

http://it.linkedin.com/in/emanuelegentilihttp://www.twitter.com/emgent


http://www.tigersecurity.it


http://www.backtrack-linux.org


http://www.exploit-db.com

http://www.exploit-db.com

http://it.linkedin.com/in/emanuelegentili





Chi sono ?

Marco Rondini

Tiger Security S.r.l. Penetration Tester & Developer

BackTrack Linux Developer

IHTeam Co-Founder

Offensive Security Certifed Professional Tutor

http://www.tigersecurity.ithttp://www.backtrack-linux.org

http://it.linkedin.com/pub/marc-rondini/1b/799/b21http://www.twitter.com/white__sheep






http://it.linkedin.com/pub/marc-rondini/1b/799/b21

http://it.linkedin.com/pub/marc-rondini/1b/799/b21

http://www.twitter.com/white__sheep

http://www.twitter.com/white__sheep


Sommario

‣ Figure professionali che si occupano di “sicurezza”‣ Il concetto di Sicurezza Offensiva ‣ La figura del Penetration Tester‣ Metodologie‣ Le mille strade che può percorrere un Penetration Tester‣ Obbiettivi di un’attività di Penetration Test‣ BackTrack Linux‣ Il fattore umano nelle attività di un Penetration Tester‣ Demo‣ Bad Guys Vs Ethical Hackers‣ Questions and Answers



Figure Professionaliche si occupano di Sicurezza



Analista Programmatore Penetration Tester‣ Code Inspection ‣ Analisi di codice statico‣ Code Review

‣ Audit di Sicurezza Applicativa‣ Audit di Sicurezza Network‣ Audit di Sicurezza Fisica‣ Ingegneria Sociale‣ Ethical Hacking‣ . . .

Figure professionali che si occupano di sicurezza



Il Concetto di Sicurezza Offensiva


Il concetto di sicurezza offensiva

La sicurezza informatica proattiva trova il proprio fondamento nella convinzione che ci sia la reale necessità di provare a penetrare la propria infrastruttura per verificarne la stabilità e la non penetrabilità, prima che lo faccia qualcun’ altro magari con cattive intenzioni.

Dan Farmer nel 1993 introduce “finalmente” il concetto di

Sicurezza Offensiva progetto la mia rete in modo “sicuro”, metto tutte le protezioni opportune ma poi:

VERIFICO (o faccio verificare) SE E’ PENETRABILE.




La Figura Del Penetration Tester



Il Penetration Tester è parte di un team operativo (Tiger Team) e si occupa di verificare la sicurezza delle infrastrutture, dei dati e di tutti quegli aspetti tecnologici/fisici/umani che potrebbero essere sfruttati da menti criminali.

La figura del Penetration Tester

Skill Metodologia Creatività Passione Etica+ + ++

La Ricetta dell’ottimo Penetration Tester



... Ma da dove proviene il termine TIGER TEAM ?

Il termine Tiger Team era usato originariamente con riferimento militare per quelle squadre il cui scopo era di penetrare la sicurezza di installazioni "amiche", e in questo modo di testare le loro misure di sicurezza.

(wikipedia)

Queste operazioni di esercitazione

vengono svolte ad oggi e prendono

il nome di Cyber Defense Exercise.

La figura del Penetration Tester



Le Metodologie



Le Metodologie

OWASP

OSSTMM

OSINT



Le mille strade che può percorrere un Penetration Tester




Black BoxQuesta modalità operativa di approccio va a simulare un attacco reale all’infrastruttura. Il Tiger Team, che effettua la verifica di sicurezza, si pone nei panni di un attaccante reale che non conosce alcun dettaglio sulla piattaforma bersaglio.

Grey BoxQuesta modalità operativa di approccio va a simulare il comportamento un attacco reale all’infrastruttura. Il Tiger Team viene posto nei panni di un attaccante che conosce parte della infrastruttura oggetto di verifica (simulazione dipendente infedele che vende informazioni interne).

White BoxQuesta modalità operativa di approccio va a simulare il comportamento un attacco reale all’infrastruttura. Il Tiger Team viene posto nei panni di un insider che vuole compiere uno sgarbo all’azienda per cui lavora/lavorava.




0

25

50

75

100

White Box Grey Box Black Box

Difficoltà Attività di Audit



Obbiettivi di un’attività di Penetration Test



Dimostrare Qualcosa al ManagementL’attività è mirata soprattutto verso la ricerca e individuazione di una o più problematiche di sicurezza, le quali possano esporre dati confidenziali o segreti industriali.

Verifica di sicurezza Pre-ProduzioneL’attività è mirata all’individuazione di tutte le problematiche di sicurezza presenti sull’obiettivo. Attività svolta in modo ciclico per “garantire” la non penetrabilità da parte di persone non autorizzate.

Verificare la risposta dei tecnici operativiL’attività è svolta al fine di verificare i sistemi di sicurezza ed anti-intrusione correlando l’atteggiamento della task force interna la quale si occupa di difesa ed “incident response”.

Obbiettivi di un’attività di Penetration Test



Back|Track Linux


BackTrack 5

Promo


Back|Track LinuxDistribuzione GNU/Linux Live installabile per attività di intelligence e di Penetration Test.

Oltre 600 tools per svolgere test di sicurezza edinvestigazione.

Rispetto delle Metodologie STANDARD internazionali OSSTMM, OWASP, OSINT.

Quasi due milioni di download unici( 1,985,943 - 18 Aprile 2011)

Sviluppata e gestita da due società del settore

Utilizzata da enti di intelligence e reparti governativi della difesa.



Back|Track Linux

“ Se avessi avuto Back|Track Linux qualche anno fa,mi avrebbe fatto risparmiare molto tempo.”Kevin D. Mitnick

“ Back|Track è la via più veloce per andare dal boot del sistema locale all’ accesso root del sistema che vuoi attaccare ”H.D. Moore

“ Back|Track è l’ arma utilizzata dai ninja hacker. ”Johnny Long

www.nsa.gov

Cyber Defense Exercise



http://www.nsa.gov

http://www.nsa.gov

Back|Track Linux

Master di Certificazione Sicurezza Offensiva




Il fattore umano nelle attività di un Penetration Tester



Il fattore umano nelle attività di un Penetration Tester

Ottenere ciò che si vuole andando a toccare argomenti giusti nel momento giusto.

Dareste mai a nessuno il codice segreto della vostra carta di credito?

Ci sono momenti in cui condizioni emozionali ci portano a ragionare in modo differente dalla norma, e ci sono persone sempre pronte ad approfittarne.



DEMO



Bad Guys Vs Ethical Hackers


Bad GuyVi dice qualcosa il termine“Black Hat” ?

Criminali Informatici mercenari pronti a fare qualsiasi cosa per guadagnare soldi.

Utilizzano la rete per penetrare i vostri sistemi o ancora meglio quelli di facoltosi enti governativi e militari (spionaggio).



Bad Guy ... come al mercato del pesce.

Acquirente: A quanto sta il merluzzo ?

Black Hat: 9 euro al kg.

Acquirente: A quanto invece le carte di credito Visa Gold?

Black Hat: 3 euro l’ una.

Il venditore (delle carte di credito... non del pesce -.- ) fa parte di un’organizzazione criminale nota anche come: Russian Business Network!




Domande ?



Grazie per l’attenzione.


Professione Penetration Tester

Technology

Transcript of Professione Penetration Tester