Você está na página 1de 17

17/03/2017 ARTIGO:FerramentasdePentestutilizadasporProfissionaisdeSeguranadaInformaoparamonitorarfalhasdeseguranaemSistemasOrga

ARTIGO:FerramentasdePentest
utilizadasporProfissionaisde
SeguranadaInformaopara
monitorarfalhasdeseguranaem
SistemasOrganizacionais
Publicadoem25denovembrode2015

RenatoMarquesSeguir
4 2 1
CinciasdaComputaoeDesi

Artigodesenvolvidopor:RenatoMarquesdaSilvaeStephanie
QueirozAlves.

RESUMO

Esteartigoapresentaalgumasferramentasutilizadasnoambientedeseguranada
informaoderedesesistemascorporativoseorganizacionais,relacionadascom
testesdeintruso,anlisedevulnerabilidadesdesistemasoperacionais
esoftwarescomconhecidasvulnerabilidadesdesegurana.Osprofissionais
daseguranadainformaosevalemdosmesmosrecursos,ferramentasetcnicas
utilizadasporhackersecrackersparaencontrarfalhasdeseguranae
vulnerabilidadesemredesesistemascorporativos.Nolaboratriodetestesfoi
realizadaasimulaodeumainvasoreal,utilizandoossoftwaresNmap,
Nessus,WiresharkeoMetasploitMsfconsole,comessasferramentaspossvel
identificar,mapear,capturarpacoteseexplorarfalhasevulnerabilidadesem
redes,sistemasesoftwares.
https://www.linkedin.com/pulse/artigoferramentasdepentestutilizadasporseguran%C3%A7arenatomarques 1/17
17/03/2017 ARTIGO:FerramentasdePentestutilizadasporProfissionaisdeSeguranadaInformaoparamonitorarfalhasdeseguranaemSistemasOrga

Palavraschaves:Segurana,Informao,Integridade,Confiabilidade,
Autenticidade,Confidencialidade,Disponibilidade,Vulnerabilidade,Pentest,
Intruso,Teste,AmbienteCorporativo.

ABSTRACT

Thisarticlepresentssometoolsusedinnetworkinformationsecurity
environmentandcorporatesystemsandorganizational,relatedtointrusiontests,
analysisofperatingsystemvulnerabilitiesandsoftwarewithknownsecurity
vulnerabilities.Professionalsintheinformationsecurityavailthemselvesofthe
samefeatures,toolsandtechniquesusedbyhackersandcrackerstofindsecurity
holesandvulnerabilitiesinnetworksandcorporatesystems.Inlaboratorytests
simulatingarealinvasionwascarriedoutusingthesoftwareNmap,Nessus,
WiresharkandtheMetasploitMsfconsolewiththesetoolsitispossibletoidentify,
map,packetcaptureandexploitflawsandvulnerabilitiesinnetworks,systems
andsoftware.

Keywords:Safety,Information,Integrity,Reliability,Authenticity,
Confidentiality,Availability,Vulnerability,Pentest,Intrusion,Test,Corporate
Environment.

1.INTRODUO

Garantiraseguranaderedesesistemascorporativosexigegrandeesforo,tanto
dasempresas,quantodosprofissionaisdeseguranadainformaoeusurios
dessessistemas,paratantoutilizarsedeferramentasdeintrusoparainvadiro
prpriosistema,visandodescobrirvulnerabilidadesefalhasdesegurana,tornou
seimprescindvelparagarantiraproteodainformao,hojeumativodegrande
potencialgeradordelucroevalorparaempresasecorporaes.

https://www.linkedin.com/pulse/artigoferramentasdepentestutilizadasporseguran%C3%A7arenatomarques 2/17
17/03/2017 ARTIGO:FerramentasdePentestutilizadasporProfissionaisdeSeguranadaInformaoparamonitorarfalhasdeseguranaemSistemasOrga

Oobjetivodessetrabalhoconscientizarorganizaes,profissionaiseusurios
sobreaimportnciadousodetcnicaseferramentasdeintrusoparagarantira
seguranaderedesesistemascorporativos,comofimdegarantirasegurana
dessesambientes,minimizandoosriscoscasoumatentativadeinvasoobtenha
sucesso.

Ostestesdeinvasopartemdoprincpiodequenenhumambiente100%seguroe
quecomoconhecimentodesuasfraquezas,organizaesecorporaespossam
criarpolticasdesegurana,mecanismoseformasdeprotegerseeminimizar
estragoscasoalgumintrusoconsigaburlarossistemasdeseguranaeobter
sucessoemalgumainvestida.

Emboradegrandeimportnciaparagarantirasegurana,sopoucasas
organizaesquecolocamemprticaoupermitemquetaistcnicassejam
utilizadas,sejaporreceiooudesconhecimentodograndepotencialqueessas
ferramentaspossuemparaburlarasdefesasdeseussistemas.

1.FUNDAMENTAOTERICA

Asegurananaatualidadetornouseumadasprincipaispreocupaesda
sociedadeeumgrandedilemaparaempresas,instituieseorganizaes,quepara
garantiraintegridadedeseupatrimnio,dispensamumasomaconsidervelde
recursos,eseveemobrigadasainvestirtambmnaproteodainformaoeleita
atualmentecomoumdosprincipaisativosdasempresas,dadoseupotencialpara
gerarlucro,agregarvaloresuacapacidadeparaserutilizadaemdiversostiposde
aplicaesenosmaisvariadostiposdenegcioseatividadeshumanas,paracriare
inovarprodutos,servioseprocessos.

https://www.linkedin.com/pulse/artigoferramentasdepentestutilizadasporseguran%C3%A7arenatomarques 3/17
17/03/2017 ARTIGO:FerramentasdePentestutilizadasporProfissionaisdeSeguranadaInformaoparamonitorarfalhasdeseguranaemSistemasOrga

DeacordocomestatsticasdoCentrodeEstudos,RespostaeTratamentode
IncidentesdeSeguranaBrasil(CERT,2015),serviooferecidopeloComit
GestordaInternetnoBrasil(CGI.br),asestatsticasdevarreduradeportas,recusa
deservios,invasoporwormseporataquesautomatizadosnoparadecrescer,
triplicandoaincidnciadecasos,issoapenascomparandoosanos2013e2014.

Apreocupaocomagestodaseguranadainformaotornaram
osPentestsumaprticafundamentalparagarantiraproteoderedes
corporativas,tendoemvistaquenenhumarede100%segura,pormanteciparse
epromoverumainvasosuaprpriaredeparaidentificarpotenciaisfalhasna
segurana,quepossampermitiraexploraoporumintruso,temsetornadouma
prticacomumemorganizaesquesepreocupamemmantersuaredeprotegidae
apartirdasvulnerabilidadesencontradas,desenvolvermecanismosadequadospara
mitigarosriscosdaquebradeintegridade,casoalguminvasorobtenhasucessoe
consigapenetrarsuarede.

1.OQUESEGURANADAINFORMAO?

SegundoAlbuquerqueJr,Santos(2013),seguranaoconjuntodasaesedos
recursosutilizadosparaprotegeralgooualgumeinformaooatodeinformar,
ouseja,informaooprodutofinaldaseleodeinmerosdados,provenientes
dediversasfontes,queunidoscomasexperinciasvividasporumaouumgrupo
depessoas,podesetransformarnabasedoconhecimentoparaviabilizaracriao
deprodutos,serviosenegciosouauxiliarnatomadadedecisodosgestoresdas
organizaes.

ParaLopes(2014),Informaoumconjuntodedados,organizadosdetalforma
queconstituiumamensagemsobredeterminadofenmenoouevento,seuuso
racionalabasedoconhecimentoutilizadopararesolverproblemasetomar
decises.
https://www.linkedin.com/pulse/artigoferramentasdepentestutilizadasporseguran%C3%A7arenatomarques 4/17
17/03/2017 ARTIGO:FerramentasdePentestutilizadasporProfissionaisdeSeguranadaInformaoparamonitorarfalhasdeseguranaemSistemasOrga

Aseguranadainformao,deacordocomMoreno(2015),fundamentasenos
seguintesprincpios:

Autenticidade:garantiadequeainformaoestsendoenviadaporuma
fontelegtimaesegura,semtersofridoalteraooutersidointerceptadae
adulteradaporpessoasnoautorizadasantesderetransmitilaao
destinatrio.

Confidencialidade:baseiasenoacessoinformaoapenasporpessoasque
tenhampermissesparaacesslas.

Disponibilidade:cujofundamentoainformaoestarsempredisponvel
quandoforrequisitada.

Integridade:definequeainformaonosofreualteraoemantmse
ntegra.

Legalidade:esseprincpiodefinequeainformaoestdeacordocoma
legislaodopas.

AindaparaMoreno(2015),essesprincpiosdaseguranadainformaocorrem
riscodeseremcomprometidoscompossveisameaas,quepodemser
classificadascomofsicasoulgicas.

Asameaasfsicaspodemserinterpretadascomotodoequalquerprocessode
naturezafsicaquevenhacomprometerosprincpiosdaseguranadainformao,
comoalagamentos,tempestades,desabamentos,incndioseumsemnmerode
ocorrnciasdessanatureza.

https://www.linkedin.com/pulse/artigoferramentasdepentestutilizadasporseguran%C3%A7arenatomarques 5/17
17/03/2017 ARTIGO:FerramentasdePentestutilizadasporProfissionaisdeSeguranadaInformaoparamonitorarfalhasdeseguranaemSistemasOrga

Asameaaslgicascompemtodoouqualquerprocessodenaturezalgica
quetenhapotencialparacomprometerosprincpiosdaseguranadainformao,
comovrus,ataquesdequebradesenhas,sniffers,downloadsdearquivos,etc.

Dentreadiversidadedemecanismosdeseguranaquepodemserutilizados
paragarantirainviolabilidadedessesprincpios,Souza(2012)relataquealmdo
treinamentoeconscientizaodeusurios,criptografia,antivrus,firewall,
tcnicaseumadiversidadedeserviosrelacionadosseguranadainformaode
redescorporativas,cujofimminimizarasameaaseaexposiocotidiana
sofridaporessasredesexistemalgunsserviosquedespontamdevidoseu
potencialparaidentificarvulnerabilidades,falhasdesegurana,tentativase
intrusonasredescorporativas,destacamseaanlisedevulnerabilidadesque
consisteemrealizarumaauditoriaparaencontrarfalhas,estelevantamento
realizadodeformaanocomprometerosistemaanalisadoaperciaforenseque
fundamentasenousodetcnicaspararastrearoatacante,partindodoprincpiode
queumainvasosempredeixarrastroseatravsdelesapossibilidadederastrear
eencontraroinvasoreopentest,quebaseiasenasimulaodeumainvasoreal,
valendosedasmesmasferramentasdeanlises,tcnicaseraciocnios,utilizadas
porcrackersduranteainvaso,paraidentificarasfalhasdeseguranaeas
vulnerabilidadesdessasredes.

ParaLopeseCastro(2013),oquediferenciaopentesterdocrackersua
meta,cujoprincpiotestarserviosemecanismosdeseguranaexistentesem
determinadoambientecomputacional,eatravsdaidentificaoeexploraode
possveisvulnerabilidadesefalhasdesegurana,desenvolvermecanismose
polticasdeseguranacomointuitodeprotegeraquelaqueconsideradana
atualidadeomaiorpatrimniodasorganizaes,cujopotencialestratgicoparaa
sobrevivnciadasempresasindiscutvel,ainformao.

1.TIPOSDEPENTEST

https://www.linkedin.com/pulse/artigoferramentasdepentestutilizadasporseguran%C3%A7arenatomarques 6/17
17/03/2017 ARTIGO:FerramentasdePentestutilizadasporProfissionaisdeSeguranadaInformaoparamonitorarfalhasdeseguranaemSistemasOrga

Penetrationtestingousimplesmentepentest,tambmconhecidocomo
testedeintrusooutestedepenetrao,deacordocomWeidman(2014),a
simulaodeataquesreaisparaavaliarosriscosassociadoseaspotenciaisfalhas
desegurananossistemascorporativos.

Moreno(2015)definepentestcomoumabateriadetestesmetodolgicos
comoobjetivodedescobrir,mapeareexportodasaspossveisvulnerabilidades,
emborasejamaplicados,namaioriadasvezesemredesesistemasoperacionais,
suaaplicaopodeserestendidaparawebsites,redessemfio,bancodedados,
aplicativoseprogramas.

AindaparaMoreno(2015),aaplicaoerealizaodepentest
fundamentalparagarantiraseguranadainformao,poissomenteatravsdele
possveldescobrirfalhasevulnerabilidadesnasredesesistemastestadoseapartir
dadesenvolvermecanismosdedefesaespecficosparacadacorporaosubmetida
aostestes.

DeacordocomCastroeLopes(2010),existemseistiposdePentests:

Blind:Bomparaterconhecimentodeorganizaoeinfraestruturada
empresa,ouseja,fazsimulaesdosprocedimentosdeumataquereal,
pormexigetempo,devidonocontermuitasinformaesdoqueestasendo
invadido.

DoubleBlind:maisprximoaindarealidade,estetipodetestefaz
simulaesdeinvaso,poremapenasumapessoadentrodaorganizaotem
cinciaqueotesteestasendoaplicado.

https://www.linkedin.com/pulse/artigoferramentasdepentestutilizadasporseguran%C3%A7arenatomarques 7/17
17/03/2017 ARTIGO:FerramentasdePentestutilizadasporProfissionaisdeSeguranadaInformaoparamonitorarfalhasdeseguranaemSistemasOrga

GrayBox:umasimulaodeinvasorealizadaemumambiente
totalmentecontroladoemonitorado

DoubleGrayBox:Tratasedeumasimulaoondeoauditortem
conhecimentoparcialdoalvo,oalvosabequeestasendoatacado,pormno
temconhecimentodostestesqueserorealizados.

Tandem:PreviamenteconhecidocomoCaixadeCristal,nestasimulao
deataqueoauditortemtotalconhecimentodoalvoqueseratacado,eo
alvotemtotalconhecimentoqueseratacadoeoquesertestado.

Reversal:Idealparatestar.

1.ALGUMASFERRAMENTASUTILIZADASEMPENTEST

Dentreadiversidadedeferramentasexistentescompotencialpararealizaros
maisvariadostiposdeataquesasistemaseredesdistribudasnomercado,foram
escolhidascincoferramentaspararealizarolaboratriodetestes,essasferramentas
foramescolhidaspeloseupotencialinvasivo,seuusocomum
porcracrerseharckerseprofissionaisdeseguranadainformaoepela
facilidadedeutilizao,ostpicosaseguiresclareceasfuncionalidadese
aplicaesdessasferramentas:

KaliLinux:DeacordocomMoreno(2015),oKaliLinuxumsistema
operacional,baseadonoDebian,desenvolvidoexclusivamenteparatestesde
penetrao,essepacotevemrecheadodeferramentasparaauditoriae
realizaodetestedeseguranaemredesdecomputadores,possibilitandoa
descobertaeexploraodediversostiposdevulnerabilidades,essas
ferramentasestodistribudasemdiversascategoriasferramentaspara
coletarinformaes,paraanalisarvulnerabilidadesemsoftwareou
https://www.linkedin.com/pulse/artigoferramentasdepentestutilizadasporseguran%C3%A7arenatomarques 8/17
17/03/2017 ARTIGO:FerramentasdePentestutilizadasporProfissionaisdeSeguranadaInformaoparamonitorarfalhasdeseguranaemSistemasOrga

hardware,ferramentasparaanalisarvulnerabilidadesemambienteweb,para
quebradesenhas,anlisedetrfegoemredessemfio,paraexplorar
vulnerabilidadesencontradas,paracapturartrfegodeinformaes,para
acessofuturoaoalvoexploradoeparasobrecarregarservidorescom
excessodedados.

Nmap:SegundocomRocha,MenezeseCardoso(2015),oNmapumtipo
deportscannerdecdigoabertoqueusarecursosavanadospara
exploraoderedeeauditoriadeseguranaportscannerumadas
tcnicasdevarreduradeportasmuitoutilizadaporatacantesparadescobrir
vulnerabilidadesemsistemas,atravsdessatcnicapossveldescobrirse
umaportaestsendoutilizadaouno,enquantoestsendoutilizada
possveltestlaedescobrirseexistemvulnerabilidades.Servepara
determinarquaishostsestodisponveisnarede,servios,aplicaese
versesqueosmesmosexecutam,filtrodepacoteseFirewallqueesto
presentesnaredeouhosts.Existemtrstiposdeport
scanning,Scanningderedequeidentifica
apenashostsativos,Scanningdeportaqueverificaasportasabertaseos
serviosativoseScanningdevulnerabilidadesquedetectaas
vulnerabilidadesexistentesnosistema.

Nessus:ParaSchwadeJr,Bortoluzzi(2010),esseprogramaumscannerde
vulnerabilidadesquedisponibilizaumainterfacewebparaconfiguraoe
execuodevarreduras,paraissoprecisocriarumapolticadavarredura,
informaroendereodoalvo,aspossveisvulnerabilidades,credenciaisde
autenticaodeservios,ediversasinformaesquepossamserutilizadas
peloaplicativoparaatingiroobjetivooNessuspodeserutilizadocomo
scannerbsicoderedes,detectordemalwareparaWindows,scansobrea
vulnerabilidadeShellshock,comelepossvelconfigurarumavarredura
direcionadaaumIP,cruzarvulnerabilidadesencontradascomobancode

https://www.linkedin.com/pulse/artigoferramentasdepentestutilizadasporseguran%C3%A7arenatomarques 9/17
17/03/2017 ARTIGO:FerramentasdePentestutilizadasporProfissionaisdeSeguranadaInformaoparamonitorarfalhasdeseguranaemSistemasOrga

dadosdoaplicativo,eatravsdessaconfigurao,encontrardetalhesda
vulnerabilidadeesugestesparamitigala.

Wireshark:EsseprogramasegundoRocha,MenezeseCardoso(2015),um
tipodesniffercapazdecapturar,examinaredecodificarosdadosde
arquivosouumaredeemtemporeal,dediversosprotocolosalmdo
TCP/IPpodeserencontradoemduasverses,otsharkquepodeser
utilizadoemlinhadecomandoeowiresharkqueumainterfacegrfica.

Metasploit:SegundoMoreno(2015),Metasploitumadasmelhores
ferramentasemrelaoaodesenvolvimentoeutilizaodeexploitscom
essaferramentapossvelfazerdesdeumsimplesscanatumainvaso
completaexplorandovulnerabilidadesnosistemaoperacionalouem
programasqueestejaminstaladosnocomputadoralvo.Paraissoo
Metasploitcontacomvriosexploitsemdulosauxiliares,almdealguns
complementos,ouseja,oMetasploitdivididoemtrscategorias:
bibliotecas,interfacesemdulos.

AlgunsconceitosdosmdulosmaisutilizadosnoMetasploit:

Exploit:Comelepossvelexploraravulnerabilidadedosoftware

Playload:umcdigomaliciosoquefazpartedoexploitoupodeser
compiladoindependentemente,temcomoobjetivoestabelecerumcanalde
comunicaoentreoatacanteeoalvo.

Shellcode:Fazpartedoexploitenopodesercompilado
independentemente,temcomoobjetivoinjetarcdigosnosistemaalvo,
causandoumoverflowouestourodepilha.

https://www.linkedin.com/pulse/artigoferramentasdepentestutilizadasporseguran%C3%A7arenatomarques 10/17
17/03/2017 ARTIGO:FerramentasdePentestutilizadasporProfissionaisdeSeguranadaInformaoparamonitorarfalhasdeseguranaemSistemasOrga

MdulosAuxiliares:Temcomoobjetivoexplorarosistemaalvo,como
umportscannerounavegaodeservio.

Encoders:Ferramentautilizadaparaburlarsistemasdeantivrus,firewallou
ferramentasantimalware.

1.LABORATRIODETESTES

SegundoSchwadeJr.,Bortoluzzi(2010),paraprevenirataquesos
administradoresderedesesistemascomputacionaissevalemdevriastcnicas,
entreelasosSistemasdeDetecodeIntruso,soaplicaesdistribudascuja
funoaanlisedeeventosemumarede,essessistemascontmregrasque
detectamanomaliaseenviamalertasindicandoquandoumsistemaestsobataque,
oFirewallutilizadoparaatuarcomoumlimitadorebloquearconexesindesejadas
erestringindooacessoentreumaredeprotegidaeainterneteasPolticasde
seguranaquesoregrasquedirecionameapoiamaadministraodasegurana
dainformao.

Oroteirodetestesfoidesenvolvidoapartirdaidentificaodasportas
abertascomoNmap,eseguiucomomapeamentodevulnerabilidadescomo
Nessus,emseguidautilizamosoWiresharkparacapturadepacoteseoMetaploist
Msfconsoleparaexploraodevulnerabilidadesencontradas.

IDENTIFICAODOALVO

Paradescobrirquaisportasestavamabertaseseusrespectivosserviosfoi
utilizadooScanningdeportasNmap.

https://www.linkedin.com/pulse/artigoferramentasdepentestutilizadasporseguran%C3%A7arenatomarques 11/17
17/03/2017 ARTIGO:FerramentasdePentestutilizadasporProfissionaisdeSeguranadaInformaoparamonitorarfalhasdeseguranaemSistemasOrga

DeacordooNmap.org,essaferramentafoidesenvolvidaparaescanear
redesamplas,utilizapacotesIPsemestadobrutoparadeterminarquaishostsesto
disponveisnarede,servioscomnomedaaplicaoeverso,equaissistemas
operacionaisestosendoexecutadostiposdefiltrodepacotes,firewallsemusoe
muitomais.

OresultadodavarredurarealizadacomoNmapumalistadealvos
escaneados,cominformaesdecadaumdeles,comonmerodaportae
protocolo,nomedoservioeoestado,nestecasoseaportaestaberta,filtrada,
fechadaounofiltrada,aversodosoftware,almdeofereceraopodescando
Protocolosuportado,nestecasoosresultadosdoscanningsoinformaesdos
protocolossuportadosaoinvsdasportasqueestoabertas.

Oscanningdeportaumatcnicamuitocomumeumadasmais
utilizadasporatacantesparadescobrirserviosvulnerveisemumsistema,sea
portaestasendoutilizadaounoecasoesteja,possveltestlaafimde
descobrirpossveisvulnerabilidades.

DeacordocomWeidman(2014),oNessusumscannerdeseguranade
rede,possuiumbancodedadosabrangentequeatualizadodiariamente,como
Nessuspossvelrealizarauditoriasremotasedeterminarsearedefoi
comprometida,usadaindevidamente,almdeidentificarapresenade
vulnerabilidades,especificaesdeconformidade,violaesdepolticasde
contedoeoutrasanomaliasemumhostlocal.

MAPEAMENTODEVULNERABILIDADES

ONessuspossuicaractersticasqueocolocamentreosprincipaisprodutos
dosetordesegurana.UmdosdiferenciaisdessaferramentaaVarredura

https://www.linkedin.com/pulse/artigoferramentasdepentestutilizadasporseguran%C3%A7arenatomarques 12/17
17/03/2017 ARTIGO:FerramentasdePentestutilizadasporProfissionaisdeSeguranadaInformaoparamonitorarfalhasdeseguranaemSistemasOrga

inteligentequeaocontrriodeoutrosscannersdesegurana,nogeraalarmes
falsos,esseprogramaverificaumavulnerabilidadepormeiodeexploraosempre
quepossvelecasoissoforafetaraferramentapossuiumbannerdeservidorpara
determinarapresenadavulnerabilidade.

Almdedetectarasvulnerabilidadesdeseguranaexistentesnaredeeo
nvelderiscodecadaumadelas,oNessusgeraumrelatriocompletocom
sugestesparasolucionarasvulnerabilidadesencontradas.

CAPTURADEPACOTESNAREDE

DeacordocomMoreiraeCavalcanti(2010),essaferramentautilizada
paracapturarpacotesquetrafegampelarede,oWiresharkpermitequeousurio
visualize,captureeverifiqueocontedodetodootrfegoqueestpassandopela
rede,graasaestacaractersticapodeserutilizadocomoferramentadeapoioao
administradorparaanlisedetrfico.

Aaodecaptura/interceptarpacotescaracterizaumaatividadedeescuta
dosdadosquetrafegamnarede,porissoseuusodeveserrealizadoporpessoal
autorizadoparafazlonoambienteemoperao,sejaparasimples
monitoramentodecontedo(aexemplodeconversastelefnicasviaVoiP)ou
mesmoparaaidentificaodeproblemasnaredeparafinsdeotimizaodoseu
desempenho.Essessoospropsitosdosoftwareeelenodeveserutilizadosem
autorizaocomosnifferderede,oquecaracterizaumataquepassivod
interceptaoaocontedodarededecomputadores.

Normalmentehmuitotrfegoquechegasinterfacesdeumaredepor
meiodebroadcast(ououtrastecnologiasdetransmisso)equenosode
interessedeumainterfaceespecfica,porissoocomportamentopadroque

https://www.linkedin.com/pulse/artigoferramentasdepentestutilizadasporseguran%C3%A7arenatomarques 13/17
17/03/2017 ARTIGO:FerramentasdePentestutilizadasporProfissionaisdeSeguranadaInformaoparamonitorarfalhasdeseguranaemSistemasOrga

somentetrfegodeinteressedasinterfacesaceito,deformaquetodososdemais
pacotessodescartados.Esseumcomportamentopadrobaseadonaconfiana
quepodeseralteradoatravsdeummtodoquecolocaasinterfacesemumestado
emqueelaspassamarecebereprocessartodosospacotesentrantes/saintes.

OWiresharkorganizaasinformaesdecontrolecontidasnoscabealhos
dospacotesparafacilitaroprocessodeleituraeanlisetcnica,noentanto
necessrioqueessespacotessejampreviamentecapturadosemalgumainterfacede
rede.Parafazloosoftwareutilizabibliotecasquesoresponsveisporcolocaras
interfacesderedeemmodopromscuo.

Nestecaso,estosendodemonstradostodosospacotescapturadosnarede,
asportasecomoeparaondeestsendorealizadaatransmissodospacotes.

EXPLORAODOALVO

DentreasdiversasinterfacesparausodoMetasploit,autilizadapara
exploraravulnerabilidadenosistemaalvo,foioMsfconsole,umainterfaceem
linhadecomandocomgrandecapacidadeinvasiva,quepermiteoacesso
eficienteapraticamentetodasasopesdisponveisnoMetasploit.Essainterface
consideradaonicocaminhodeacessocomsuporteparaamaioriadosrecursose
amaisestvel,possuisuportecompletoreadline,tabulaoeconclusode
comando.

QuandoforamexecutadososcomandosnoMetasploit,foirealizado
umfingerprintparadetecodosistemaoperacionaleverificarseomesmo
constaemsualistadesistemasoperacionaisvulnerveis.Comesseintuito
realizadoocdigo:msfexploits:>showtargert.

https://www.linkedin.com/pulse/artigoferramentasdepentestutilizadasporseguran%C3%A7arenatomarques 14/17
17/03/2017 ARTIGO:FerramentasdePentestutilizadasporProfissionaisdeSeguranadaInformaoparamonitorarfalhasdeseguranaemSistemasOrga

Quandoessecdigorealizadoeleapresentanatelaumalistadetodosos
sistemasoperacionaisalvosequeseencontraemcondiesvulnerveis,devidoa
issofoipossvelidentificarcommaisfacilidadeecommenosmargemdeerro.

1.CONCLUSO

ConsiderandoosriscosoferecidospeloambienteWeb,investirna
seguranaderedesesistemasfundamentalparagarantiraintegridadedesses
ambientes.

Apesquisadasferramentasutilizadasnolaboratrioparaconfirmaro
potencialdessasferramentasnoslevaacrerqueconscientizargestoreseusurios
sobreaquestodasegurananoambientecorporativoimprescindvelparao
sucessodepolticasdeseguranaegarantiadainviolabilidadededadose
informaesquegarantemasobrevivnciadeempresas.

Comolimitaoestetrabalhofoirealizadoemambientevirtualecom
vulnerabilidadesjconhecidas.

Comoindicaoparatrabalhosfuturos,sugiroacomparaocomoutras
ferramentas,considerandoodesempenhodecadauma.

Referncias

ALBUQUERQUEJR,AntonioEduardoSANTOS,ErnaniMarques.Produo
CientficasobreSeguranadaInformaoemAnaisdeEventosda
ANPAD.EnADI,BentoGonalves,2013.

https://www.linkedin.com/pulse/artigoferramentasdepentestutilizadasporseguran%C3%A7arenatomarques 15/17
17/03/2017 ARTIGO:FerramentasdePentestutilizadasporProfissionaisdeSeguranadaInformaoparamonitorarfalhasdeseguranaemSistemasOrga

http://www.anpad.org.br/diversos/trabalhos/EnADI/enadi_2013/2013_EnADI93.pd
facesso03/09/2015s16:20.

LOPES,KelvinDiasCASTRO,RitaC.C..PentestyemAmbientesde
Computaoe,Nuvem:propostadeumchecklistparaPlanejamentoe
Preparao.IFCE,Canind,2014.

MARINI,TiagodosSantosFIGUEIREDO,JosAntonioOliveiraROSSETO,
AnbisGracieladeMoraes.EstudoComparativodaComunicaodeDados
emDispositivosMveis:MtodosWebserviceseSockets.InstitutoFederalSul
Riograndense.PassoFundo

http://www.eati.info/eati/2013/assets/anais/artigo46.pdfacesso10/11/2015s
19:57.

MOREIRA,LusAlbertoCAVALCANTI,CarlosFredericoM.C..Anlisee
CaracterizaodetrfegoemRedesMuiWI.UniversidadeFederaldeOuro
Preto.OuroPreto,2010.http://www.decom.ufop.br/menotti/monoII102/files/BCC39
1102mn04.1.4078LuisAlbertoMoreira.pdfacesso10/11/2015s18:51.

MORENO,Daniel.IntroduoaoPentest.SoPaulo.Novatec,2015.

SCHWADEJR,OdiloBORTOLUZZI,Fabrcio.Roteriopararealizaode
testesdepenetraoemcenriosturnkeys.UnivaleItaja(SC),
2010.http://siaibib01.univali.br/pdf/Odilo%20Schwade%20Junior.pdf
acesso15/08/2015s18:17.

https://www.linkedin.com/pulse/artigoferramentasdepentestutilizadasporseguran%C3%A7arenatomarques 16/17
17/03/2017 ARTIGO:FerramentasdePentestutilizadasporProfissionaisdeSeguranadaInformaoparamonitorarfalhasdeseguranaemSistemasOrga

SILVA,RaquelFonsecaPEREIRA,JulioCsar.Identificandovulnerabilidades
deseguranacomputacional.Unipar,Paranava(PR),
2013.http://web.unipar.br/~seinpar/2013/artigos/Raquel%20Fonseca%20da%20Sil
va.pdf

WEIDMAN,Georgia.TestedeInvaso:Umaintroduoprticaao
hacking.SoPaulo.Novatec,2014.

https://www.linkedin.com/pulse/artigoferramentasdepentestutilizadasporseguran%C3%A7arenatomarques 17/17

Você também pode gostar