Uma vulnerabilidade de bypass de autenticação é um ponto fraco no processo de autenticação do usuário. Um cibercriminoso que explora essa vulnerabilidade burla completamente a autenticação para obter acesso a um aplicativo, serviço ou dispositivo. Ele pode então expandir o ataque e roubar dados confidenciais , baixar firmware malicioso ou realizar outras ações prejudiciais.
Principais conclusões da vulnerabilidade de bypass de autenticação:
Os ataques de desvio de autenticação são únicos, pois o invasor não rouba credenciais, mas ignora completamente o processo de autenticação.
Depois de contornar a autenticação, os invasores podem aumentar os privilégios, migrar para outras páginas, roubar ou alterar dados ou baixar firmware malicioso.
Os métodos de ataque comuns incluem modificação de parâmetros de URL, navegação forçada, injeção de SQL e adivinhação de IDs de sessão.
Vulnerabilidades de desvio de autenticação podem ser mitigadas por processos de autenticação robustos, atualizações frequentes e criptografia de IDs de sessão e cookies.
Mecanismos ou subsistemas de autenticação normalmente dependem de senhas, autenticação digest, certificados de segurança e assim por diante. No entanto, erros no desenvolvimento, design ou implantação de uma aplicação podem causar falhas no mecanismo de autenticação. É por meio dessas falhas ignoradas que os cibercriminosos executam ataques de bypass de autenticação.
Após burlar a autenticação, esses tipos de invasores podem:
Aumente privilégios, avance para páginas adicionais ou crie uma sessão de administrador na solicitação HTTP.
Baixe firmware prejudicial e altere as configurações do sistema.
Visualize, copie, exclua, altere ou substitua dados importantes.
Comprometa uma conta de administrador do sistema, obtendo controle total do aplicativo e acesso à infraestrutura.
Como exatamente os invasores exploram vulnerabilidades de bypass de autenticação? Os métodos comuns incluem:
Contornar a página de login chamando uma página interna diretamente (navegação forçada).
Adulteração de solicitações para que o aplicativo presuma que o invasor foi autenticado. Os invasores podem fazer isso modificando um parâmetro de URL ou manipulando um formulário, por exemplo.
Utilizando injeção de SQL para contornar a autenticação, recuperar o conteúdo do banco de dados SQL e adicionar, modificar ou excluir registros.
Determinar IDs de sessão por meio, por exemplo, de valores dentro de cookies que aumentam linearmente.
As melhores práticas para mitigar a ameaça de ataques de desvio de autenticação incluem:
Manter-se atualizado com atualizações de sistemas, aplicativos, software e redes.
Criptografando todos os IDs de sessão e cookies.
Usando proteção antivírus.
Garantir que as políticas de autenticação sejam robustas e à prova de vazamentos.
Evite a exposição do protocolo de autenticação em um script de navegador do lado do cliente. Além disso, valide a entrada do usuário no lado do servidor.
Segurança ofensiva e segurança defensiva são duas abordagens abrangentes para fortalecer sua postura de segurança, especialmente contra ameaças graves como DDoS e ransomware . Idealmente, todas as empresas e organizações devem adotar ambos os tipos de segurança. Resumidamente, as diferenças são:
A segurança ofensiva simula ataques e identifica os pontos vulneráveis do seu sistema, normalmente por meio de técnicas como testes de penetração.
A segurança defensiva é reativa e incorpora ferramentas como firewalls e criptografia para detecção e mitigação de ameaças.
Vamos ver como ambos funcionam e qual é o melhor. Também exploraremos alguns dos principais desafios e práticas recomendadas para aproveitá-los ao máximo.
O que é segurança ofensiva?
Com segurança ofensiva, você pode usar métodos como testes de penetração para encontrar vulnerabilidades na sua rede antes que hackers possam explorá-las. Resumidamente, veja como:
Defina o objetivo que você deseja atingir com o teste.
Use ferramentas de varredura para descobrir como um aplicativo responderá a ataques.
Depois de identificar os pontos vulneráveis, tente explorá-los. Por exemplo, você pode usar injeção de SQL para roubar ativos online.
Relate vulnerabilidades e seu impacto e compartilhe com as partes interessadas relevantes.
O objetivo da segurança ofensiva é simular ataques do mundo real para testar a postura de segurança da sua organização.
A pessoa que realiza testes de segurança ofensivos é conhecida como hacker ético ou “hacker white hat”. Antes de confundi-los com hackers mal-intencionados, veja o que os diferencia:
Hackers éticos trabalham com empresas privadas e/ou organizações como o FBI para identificar e corrigir vulnerabilidades para proteger a empresa ou, em alguns casos, o estado.
Por outro lado, hackers mal-intencionados exploram vulnerabilidades para roubar dados importantes, como dados bancários, para seu ganho.
A segurança ofensiva protege ativos online de ataques cibernéticos, encontrando brechas no sistema. Não existe uma maneira única de implementar essa abordagem, mas ela envolve estas etapas básicas:
Reconhecimento : O primeiro passo é monitorar quaisquer atividades suspeitas em uma rede, sistema ou aplicativo, dependendo do seu objetivo e alvo. Nesse caso, hackers éticos coletam mais informações sobre pontos vulneráveis nos sistemas para expor as áreas que podem ser facilmente rastreadas e comprometidas.
Varredura: Você coletou algumas informações e agora quer entrar em contato com o alvo. Esta etapa envolve o envio de pacotes de dados para o alvo e a interpretação da resposta recebida. Essa resposta pode incluir informações úteis, como: endereços IP, portas abertas, detalhes do sistema operacional (SO), serviços instalados e muito mais. O Nmap é uma ferramenta popular de varredura de rede e existem várias outras opções .
Obtendo acesso: Nesta fase, você simula ataques que exploram as vulnerabilidades encontradas durante a fase de varredura. Seu objetivo é entender se há controles de segurança que os invasores possam contornar ou hackear, e qual a profundidade de acesso que eles podem ter ao sistema.
Mantendo o acesso: Agora você sabe como e onde os ataques podem acessar seus sistemas. A seguir: descubra como eles podem manter o acesso ao sistema sem serem detectados. Por exemplo, hackers podem instalar keyloggers, backdoors e/ou trechos de código que lhes permitem manter o acesso ao sistema. É assim que ameaças mais avançadas, como APTs , podem ser descobertas.
Relatando suas descobertas: Após a conclusão do teste de penetração, finalize relatando o que você descobriu. Dessa forma, a equipe de segurança ou outras partes interessadas podem fortalecer os controles apropriados. O relatório deve detalhar as vulnerabilidades descobertas, o risco que elas representam e como podem ser exploradas, os tipos de dados acessíveis e o tempo que os invasores podem permanecer sem serem detectados.
Embora a segurança ofensiva seja um aspecto essencial de uma estratégia eficaz de segurança cibernética, é desafiador implementá-la em diferentes jurisdições e manter-se dentro do orçamento.
Aqui estão alguns desafios comuns que você pode enfrentar:
Restrições gerais
Operações de segurança ofensivas, como testes de penetração, podem enfrentar estas poucas limitações:
É desafiador obter acesso ao sistema de toda a organização.
Pode enfrentar falsos positivos ao focar em pontos que não são vulneráveis.
Interromper atividades comerciais normais.
Processo dispendioso
Como você precisa contratar hackers white hat especializados, a segurança ofensiva pode ser cara. Aqui estão alguns motivos pelos quais é caro trabalhar com esses hackers:
Eles usam ferramentas e técnicas caras.
Eles não recebem reconhecimento público pelo seu trabalho.
Então, se você deseja conduzir testes de penetração completos, é hora de aumentar seu orçamento de segurança.
Identificando ataques desconhecidos
Toda organização deseja evitar ameaças desconhecidas, mas uma abordagem de segurança ofensiva não consegue isso. Implementar essa abordagem completamente pode levar dias. Portanto, se houver vulnerabilidades no sistema, ataques de dia zero podem explorá-las em minutos. Isso torna impossível prever alguns ataques desconhecidos rapidamente.
Definindo segurança defensiva
A segurança defensiva incorpora diferentes medidas de segurança para proteger sua rede de ataques. Ao contrário da segurança ofensiva, ela se concentra na configuração de sistemas e redes robustos, em vez de buscar vulnerabilidades. Este procedimento é iniciado após a ocorrência de um incidente e funciona da seguinte forma:
As equipes configuram dispositivos de segurança de rede, como firewalls, para minimizar o acesso de tráfego indesejado.
Depois, eles monitoram as redes para detectar qualquer incidente.
Se ocorrer algum incidente, eles o mitigam rapidamente para minimizar os danos em uma violação de dados.
Etapas envolvidas na segurança defensiva
Sem uma segurança ofensiva implementada, é fundamental criar um plano de segurança defensiva para evitar danos ao controle após a ocorrência de um incidente. Aqui estão algumas etapas importantes para garantir um sistema seguro e resiliente:
Avalie o risco : identifique o tipo de ataque — phishing , DDoS ou algum outro tipo? Após a identificação, avalie os riscos associados e seu impacto potencial. Por exemplo, malware foi o principal ataque enfrentado pela maioria das empresas em 2024.
Mitigar : Para minimizar o tempo de inatividade, responda a este incidente o mais cedo possível. Em 2023, as investigações forenses levaram em média 33 dias . Você deve tentar fazê-las em menos tempo.
Crie uma política : Em seguida, elabore uma política clara para mitigar os ataques identificados no futuro. Você pode incluir táticas como o uso de senhas fortes ou a desativação de determinados tipos de arquivo. Por exemplo, você pode desenvolver uma política que bloqueie arquivos .exe.
Implementação : A última etapa é implementar as políticas de segurança. Por exemplo, se a sua política bloquear um determinado tipo de arquivo, implemente-a em todos os dispositivos dos usuários.
Desafios com segurança defensiva
A maioria das empresas depende de segurança defensiva para proteger dados confidenciais e mitigar ataques. No entanto, você pode enfrentar os seguintes desafios ao tomar medidas preventivas:
Lacunas de habilidades
A segurança defensiva exige uma equipe de especialistas para lidar com ameaças sofisticadas, como malware e phishing. É por isso que a demanda por profissionais qualificados em segurança cibernética é alta. No entanto, as empresas enfrentam uma escassez de especialistas em TI qualificados em todo o mundo. Mais de quatro milhões de profissionais são necessários para preencher essa lacuna.
Como esses profissionais têm muitas opções de carreira, retê-los é um desafio. Veja o que você pode fazer para atrair bons talentos:
Ofereça salários e vantagens atraentes.
Contrate profissionais treinados que queiram construir uma carreira em segurança cibernética.
Considere-os como um trunfo e invista em seu treinamento.
Problemas de confiança
A confiança é uma grande preocupação com essa abordagem por vários motivos. Primeiro, você precisa dar acesso à equipe de segurança, o que dificulta a identificação de pessoas com intenções maliciosas. Segundo, o uso de ferramentas de terceiros pode aumentar o risco de vazamento de dados.
Recursos limitados
Assim como na segurança ofensiva, o orçamento é a maior preocupação na segurança defensiva. Pequenas empresas não têm orçamento suficiente para medidas de segurança adequadas. Além disso, empresas que investem em ferramentas defensivas nem sempre obtêm o retorno esperado. Isso ocorre porque essas ferramentas podem apresentar falsos positivos que, se não forem detectados, podem impactar a eficiência da equipe de segurança.
Melhores práticas para segurança ofensiva e defensiva
Proteger sua rede contra vulnerabilidades sempre apresentará desafios. No entanto, você sempre pode evitar esses problemas adotando algumas práticas recomendadas. Aqui estão algumas recomendações para aplicar esses métodos de segurança com mais eficácia:
Faça backup dos dados regularmente : isso adiciona uma camada extra de segurança, permite minimizar o tempo de inatividade e evita a perda permanente de dados.
Monitore o acesso de terceiros : Não conceda acesso a ferramentas de terceiros para toda a arquitetura. Em vez disso, conceda acesso baseado em funções e continue monitorando quaisquer atividades maliciosas.
Treinamento de funcionários : Devido à lacuna de qualificação no mercado de segurança cibernética, investir em treinamento de funcionários é extremamente importante. Por exemplo, você pode treinar sua equipe sobre por que não devem abrir links suspeitos. Dessa forma, você sabe que está trabalhando com uma equipe com conhecimento em segurança.
Considere isso um investimento : não veja a segurança cibernética como um custo, mas sim como um investimento. Quando os clientes perceberem que proteger seus dados é sua prioridade, eles vão querer trabalhar com você.
Seja ofensivo e defensivo
A segurança ofensiva e defensiva têm seus benefícios e desafios. Elas envolvem etapas diferentes, mas têm o mesmo objetivo: proteger seus dados online. A segurança ofensiva é proativa na busca de vulnerabilidades antes que os hackers o façam, enquanto a segurança defensiva detecta ameaças depois que elas ocorrem. Você deve incorporar ambas para um sistema de segurança mais robusto
Folha de dicas do Burp Suite. Descubra como realizar testes de penetração com as ferramentas do Burp Suite.
O Burp Suite oferece ferramentas de teste de penetração para aplicativos da Web. O pacote de ferramentas está disponível em versões gratuitas e pagas. São três edições. A versão gratuita é chamada Community Edition. Isso inclui ferramentas que você pode usar para testar sites e serviços da Web manualmente.
As duas versões pagas do Burp Suite são a Professional Edition e a Enterprise Edition . A edição Enterprise é totalmente automatizada, de modo que se encaixa na definição de um gerenciador de vulnerabilidades. A Professional Edition é, como a versão gratuita, destinada ao uso durante o teste de penetração. No entanto, isso tem mais automação do que o Community Edition.
Neste guia, veremos as ferramentas gratuitas do Community Edition e como você pode usá-las para verificar a segurança de seus sites. Existem muitos ataques a empresas que os hackers podem implementar infectando sites. Há também vários backdoors em seu servidor Web que podem permitir a entrada de hackers. O objetivo das ferramentas do Burp Suite Community Edition é permitir que você aja como um hacker e tente “quebrar” a segurança de seu sistema. Com essa estratégia, você pode identificar pontos fracos de segurança e eliminá-los antes que os hackers os detectem e comprometam seu sistema.
Teste de penetração
A diferença entre teste de penetração e varredura de vulnerabilidade é que o teste de penetração é realizado manualmente , enquanto a varredura de vulnerabilidade é automatizada . No entanto, as duas estratégias de teste de segurança procuram os mesmos problemas. Portanto, se você não tiver tempo para realizar testes de penetração, talvez seja melhor optar por um scanner de vulnerabilidade.
Os testes de penetração internos podem ser ineficazes. Isso ocorre porque os proprietários ou gerentes de sites geralmente não estão preparados para ir tão longe quanto os hackers da vida real para danificar seus sistemas. A estratégia orientadora por trás do teste de penetração é que ele deve emular as ações de um hacker real. Um hacker está preparado para fazer qualquer coisa para quebrar um alvo, mas é mais provável que os proprietários evitem táticas pesadas, preferindo desculpar as fraquezas em vez de expô-las.
O teste de penetração é mais eficaz se realizado por consultores externos e experientes. No entanto, esses pen-testers profissionais são caros e poucas empresas podem pagar seus serviços regularmente. As verificações frequentes de possíveis falhas de segurança são econômicas se forem realizadas internamente. No entanto, vale a pena investir em testes externos periódicos para verificar se seus testes realmente pegaram todas as vulnerabilidades.
Burp Suite Community Edition
Não há muitas ferramentas incluídas na Community Edition . No entanto, há o suficiente para você se familiarizar com o conceito de teste de penetração. Depois de estabelecer uma estratégia de teste, convém migrar para a Professional Edition , que fornece muito mais ferramentas para testes manuais e também alguns sistemas de automação de testes.
O Burp Suite inclui um navegador da Web, que já está configurado para teste. Isso é mais fácil de usar do que um navegador comum. No entanto, se você não quiser alternar para o navegador incluído, é possível usar qualquer outro. O navegador oferece um proxy WebSockets e retém o histórico de testes. O pacote Community Edition consiste em um repetidor, um sequenciador, um decodificador e um comparador. Há também uma versão demo do Burp Intruder no pacote.
Requisitos de sistema do Burp Suite Community Edition
O sistema Burp Suite para todas as edições será instalado no Windows , macOS e Linux. O problema crítico é que o computador host precisa ter o Java Runtime Environment (JRE) 1.7 ou posterior (edição de 64 bits).
O computador precisa de pelo menos 4 GB de memória, mas é recomendável que tenha 8 GB, principalmente se você acha que pode acabar atualizando para a Professional Edition. O computador também precisa de dois núcleos de CPU. Por fim, a instalação ocupa 286 MB de espaço em disco.
Instale o Burp Suite Community Edition
Para executar o Burp Suite Community Edition em seu computador, siga estas etapas:
Selecione seu sistema operacional e clique no botão Download.
Clique no arquivo baixado para executar o instalador.
Siga as instruções no assistente de download, percorrendo cada página pressionando o botão Avançar.
Executando o Burp Suite Community Edition
A instalação termina criando uma entrada no menu Iniciar e um ícone na área de trabalho. Clique em qualquer um para abrir o programa. Você será presenteado com uma declaração de Termos e Condições. Clique em Aceito para abrir o aplicativo.
A execução de testes é chamada de projeto no Burp Suite. Você só pode salvar um plano de teste e abri-lo através da interface do Burp Suite com a edição Professional. Com a Community Edition, você apenas executa um teste do zero. No entanto, como você ainda está aprendendo sobre o conceito de “ projetos ”, é improvável que você tenha algum plano de teste salvo de qualquer maneira. Portanto, sua única opção na tela de abertura é o projeto Temporário. Pressione o botão Avançar para começar.
A próxima tela permite definir uma configuração para o teste. Esse recurso é complicado com o Community Edition porque ele carrega apenas as configurações relacionadas a um projeto e você não pode restaurar um projeto de um arquivo. Portanto, é melhor ficar com a opção Usar padrões do Burp . Em seguida, pressione o botão Iniciar Burp para iniciar o teste.
O sistema executa uma série de testes e, em seguida, abre o painel do Burp Suite , mostrando os resultados dos testes. O painel de problemas apresentado é uma demo. Você não pode direcionar este utilitário para um de seus sites. Ele apenas mostra problemas com sites de amostra que o Burp Suite configurou para fins de demonstração. Resumindo, o recurso de atividade de problema não é útil para aqueles que executam o Community Edition. Como esse é o principal recurso da guia Dashboard, você não obterá muitas informações úteis nessa parte da interface.
Visualize o tráfego da Web com o Burp Suite
A guia Proxy na interface do Burp Suite é o mecanismo principal para atividades usando o Community Edition. Ele permite que você veja todo o tráfego que passa entre o navegador da Web e os servidores dos sites visitados.
Existem opções para restringir os sites que são relatados. No entanto, isso só é um problema se você usar seu navegador da Web normal para testes. Se você usar o navegador integrado, receberá apenas relatórios sobre o tráfego para esse navegador. Qualquer atividade que você execute em seu navegador regular específico simultaneamente não será relatada no Burp Suite. Essa estratégia simplifica drasticamente o gerenciamento de informações no Burp Suite.
A guia Proxy inclui quatro subguias. Estes são:
Intercept
HTTP history
WebSocket history
Options
Essas são as áreas onde você captura o tráfego usado em outras seções do serviço Burp Suite.
O serviço de interceptação
Ao clicar na subguia Interceptar, você verá quatro botões. Estes são:
Forward
Drop
Intercept is on
Action
Open Browser
O corpo desta tela mostra vários painéis de informações. O primeiro deles encoraja você a abrir o navegador embutido. Como o objetivo desta tela é mostrar o tráfego entre o navegador e um servidor da Web, você não obterá nada útil nela até abrir um navegador e acessar uma página da Web. Clique em um dos dois botões Abrir navegador na tela.
Ao navegador Burp Suite será aberto em uma nova janela, mas a tela Interceptar na console não será alterada. Você precisa ir a uma página da Web para fazer as coisas acontecerem. Podemos usar o site da Comparitech como exemplo. Isso está em comparitech.com.
Digite compritech.com na barra de pesquisa do navegador – use o endereço do seu site, se preferir.
Você não verá nenhum movimento no navegador da web. O indicador “funcionando” apenas circulará lentamente. O sistema Intercept bloqueia as conversas de solicitação e resposta que vão para a construção de uma página da Web em um navegador. Você tem que passar por essas solicitações.
Volte para o console do Burp Suite e você verá que ele mudou. Os painéis de informações desapareceram e, em vez disso, você verá a solicitação que o navegador de teste enviou ao servidor Web. A próxima etapa está bloqueada para permitir que você examine essas informações.
Existem ações que você pode realizar neste momento com as informações da solicitação mostradas na tela. Para ver a lista completa, clique no botão Ação . Você saberá que pode copiar os detalhes desta solicitação em outras funções no serviço Burp Suite. No entanto, espere agora porque você terá a oportunidade de ver a solicitação e a resposta em outra seção da guia Proxy . No momento, você está apenas analisando cada solicitação ao vivo à medida que ela vai para o servidor Web. Essas etapas também são salvas e você pode vê-las todas em uma tabela posteriormente.
Evite usar o botão Abrir navegador novamente – isso abrirá outra instância em outra janela, em vez de levá-lo ao navegador que você já abriu. Se você quiser voltar para o navegador com o qual está trabalhando, use as funções do seu computador, como Alt-TAB .
Para avançar no processo de solicitação de página, pressione o botão Avançar . Isso permite que o próximo passo avance. Voltando ao navegador, você verá o carregamento da página da Web solicitada enquanto continua a percorrer as solicitações com o botão Avançar.
Quando a página da Web estiver totalmente carregada, o painel principal da tela Intercept ficará em branco. Isso ocorre porque você capturou todo o tráfego transmitido entre o navegador e o servidor Web para acessar a página. Outras ações que você executa na página carregada no navegador serão refletidas na tela Interceptar.
histórico de HTTP
A segunda subguia na guia Proxy é o histórico de HTTP . É aqui que você pode consultar as transações pelas quais passou na subguia Interceptar.
Clique na subguia do histórico HTTP . Todas as transações são listadas em uma tabela na parte superior da tela. Clique em qualquer linha para ver detalhes.
O par de solicitação/resposta mais interessante que você pode encontrar nesses registros são aqueles que passam credenciais de conta de usuário . Se você encontrar essa linha, poderá começar a agir como um hacker e lançar seus ataques de teste de penetração.
Lançando um ataque
Clique com o botão direito do mouse em uma linha na lista de histórico HTTP que tenha uma postagem de login. O menu de contexto deve aparecer e você pode clicar em Send to Intruder para transferir esses dados para uma das ferramentas de ataque.
Assim que você enviar dados para o Intruder, a guia Intruder na faixa do menu superior ficará vermelha. Clique nesta aba. Os dados da solicitação que você selecionou na tela de histórico HTTP já estarão na subguia Posições . O Intruder destacará os dados pertinentes em verde. Estes se tornarão a carga útil do ataque, e as seções destacadas são as “posições” ou trechos de informação a serem usados nas tentativas. O conteúdo da solicitação está em texto simples e não criptografado, portanto, se você capturou uma ação de login, o processo de invasão como um hacker deve ser bastante simples. Deve-se notar, no entanto, que o teste de penetração raramente é tão fácil.
O Intruder oferece quatro estratégias de ataque:
Sniper – Usa um conjunto de cargas úteis e insere cada valor em cada posição por vez. Isso é usado para fuzzing, como, você sabe que um determinado assunto é necessário, mas não em qual campo ele deve ir.
Battering ram– Duplica cada carga útil, coloca o mesmo valor em todas as posições de uma vez e tenta o próximo valor. Isso é usado onde se espera que o valor exato seja coordenado em vários lugares em um formulário, como um nome de usuário sendo necessário para várias entradas e esperado para estar em conformidade.
Pitchfork – Usa várias cargas úteis e permite que você decida qual conjunto de valores usar por posição. Útil para percorrer os valores candidatos correspondentes para uma variedade de campos de entrada simultaneamente.
Cluster bomb – Usa vários conjuntos de carga útil com um conjunto atribuído a cada campo de entrada e usando todas as permutações de combinações de valores para todos os conjuntos. Um grande número de conjuntos e um grande número de valores em cada conjunto podem resultar em um ataque demorado para ser concluído.
O ataque de bomba de fragmentação é provavelmente a melhor estratégia para adivinhar credenciais de acesso. Por exemplo, defina o campo Tipo de ataque como Bomba de fragmentação e limpe as posições do Burp Suite marcadas. Em seguida, examine seus dados e encontre um campo de nome de usuário. Destaque-o e clique no botão Adicionar . Em seguida, procure o campo de senha, destaque-o e pressione o botão Adicionar .
Alterne para a subguia Payloads . Selecione 1 para o conjunto de carga útil – isso se refere ao campo de nome de usuário. O campo Payload Type tem muitas opções—selecione Simple list .
No campo de entrada de dados na parte inferior do painel Payloads Options . Digite um nome de usuário típico, como administrador ou convidado. Pressione o botão Adicionar ao lado do campo. Repita isso até ter cerca de seis valores possíveis em sua lista.
Volte para a lista suspensa Conjunto de carga útil e selecione 2 . Em seguida, insira uma lista de senhas possíveis na lista Payload Options .
Não coloque muitos valores em cada conjunto para cada execução. Haverá muitos nomes de usuário e senhas possíveis que você pode tentar. No entanto, é melhor executar combinações em seções para que você possa obter resultados mais rapidamente.
Pressione o botão Iniciar ataque.
O sistema trabalhará com todas as combinações possíveis dos valores nas duas listas. Você pode assistir a cada tentativa na janela Resultados que se abre. Você saberá se uma das combinações está correta observando o campo Comprimento.
O comprimento referido neste campo é o número de bytes na resposta. Cada sistema tem uma mensagem diferente para sucesso ou falha de login. No entanto, você pode ter certeza de que a maioria de suas tentativas falhará e terá o mesmo número no campo Comprimento. Isso informa o número de bytes na mensagem de tentativa de login com falha. Se uma das tentativas tiver um valor diferente no campo Comprimento , essa será a combinação correta de nome de usuário e senha.
De estratégias militares a táticas que técnicos ousados rabiscam em um campo de futebol, há um termo que também pode ser pensado na sua defesa cibernética: segurança ofensiva.
É, basicamente, a ideia de que “a melhor defesa é o ataque” aplicada à área de TI.
A verdade, inclusive, é que esse tipo de ação pode ser de grande valia para a sua segurança cibernética.
Se o termo e a sua aplicação são ainda novidade para você, não tem problema. Pois nos tópicos abaixo vamos falar mais sobre segurança ofensiva e inteligência cibernética e a relação de ambos para proteger o seu negócio.
Por isso, para saber mais a respeito é só seguir com a leitura deste post!
O que é segurança ofensiva?
Você não precisa esperar por uma tentativa de invasão e violação de dados para entender como se proteger desse tipo de ameaça.
Afinal de contas, a segurança ofensiva lida com o diagnóstico e a prevenção de falhas e vulnerabilidades, solucionando problemas antes de acontecer.
Para tanto, é necessário contar com uma equipe especializada — como hackers éticos — ou empresas que prestem esse tipo de serviço.
Tudo para que essas ofensivas sejam controladas e feitas em ambientes protegidos para não colocar seus dados em risco.
Diferenças da segurança ofensiva para a defensiva
Agora que falamos sobre o que é segurança ofensiva, dá para estender um complemento à introdução: trata-se de um conceito distinto da segurança defensiva.
É interessante, inclusive, observar o quanto essa ideia se aproxima de dois conceitos que já discutimos em um post recentemente: o red team e o blue team.
O primeiro faz parte da segurança ofensiva, que busca atacar os seus sistemas a fim de identificar falhas e vulnerabilidades. Enquanto o segundo lida estrategicamente com os meios de defesa para impedir a equipe vermelha de ser bem-sucedida.
E, consequentemente, oferece meios eficientes para se prevenir contra ameaças reais.
Inclusive, existe um terceiro conceito — o purple team (ou equipe roxa) —, que equilibra ambas as ações em uma só ação.
Você coloca uma equipe de segurança ofensiva, de um lado, e defensiva do outro. Daí, você explora todas as possibilidades que ameaçam o seu negócio e aprende a melhor forma de fortalecer a sua segurança cibernética.
Qual é a função da segurança cibernética?
Segurança cibernética, em poucas palavras, é o cuidado que o seu negócio tem com a proteção dos seus sistemas e informações digitais.
O que, muitas vezes, envolve dados sensíveis e confidenciais internos e externos (dos seus clientes). Sem atenção a esse fator, sua empresa pode sofrer prejuízos em múltiplas frentes.
Por exemplo: uma violação de dados pode culminar no vazamento público dessas informações. E isso acarreta prejuízos para remediar a situação, resolver o problema e possivelmente ter que lidar com os danos causados a terceiros.
Imagine se dados de acesso de usuários caem na internet? Sua empresa vai ter que lidar com isso abertamente, e provavelmente vai ter um prejuízo material e de valor.
Afinal de contas, dificilmente você vai conseguir reconquistar esses clientes afetados por um ataque cibernético bem-sucedido aos seus sistemas.
Além disso, ter um trabalho contínuo de segurança cibernética faz com que você esteja sempre à frente das tendências de crimes virtuais.
O que favorece seu trabalho para que não ocorram imprevistos e gerem os problemas mencionados anteriormente.
A importância de se investir na segurança ofensiva
Acima, já falamos sobre a importância da segurança ofensiva: é um meio de se antecipar ao que criminosos virtuais têm praticado. E, consequentemente, saber como se prevenir e fortalecer para evitar o sucesso dessa empreitada.
Sabemos, inclusive, que não existem sistemas 100% confiáveis e seguros. Eventualmente, alguém vai aprender como burlar uma ferramenta de segurança e lançar a novidade no mercado para que mais pessoas saibam.
E, aí, está a grande sacada da segurança ofensiva. Afinal de contas, suas equipes vão ficar em constante movimento e ação para invadir as defesas do seu sistema e programas.
Portanto, colocando à prova tudo aquilo que o seu TI já investe em segurança cibernética para ver se a defesa está à altura do que criminosos estão praticando.
Uma vez identificada a carência ou brecha, você sabe exatamente como agir. E, sim, isso vai envolver um investimento ou ajuste, aqui e ali, mas é crucial entender o quanto isso afeta positivamente a sua empresa e o mercado como um todo.
Pois aprender quais são as principais ações de ataque cibernético faz com que todo o setor de TI se fortaleça e descubra, rapidamente, como prevenir-se dessas ameaças.
Abordagens para segurança ofensiva
Em geral, as abordagens desse tipo de estratégia passam por um caminho similar, começando pela etapa de análise.
Nela,são validadas todas as possibilidades de vulnerabilidade das suas configurações. Para tanto, sua equipe deve cruza informações com o que você usa em segurança cibernética, atualmente, e o que os hackers e outros criminosos virtuais praticam.
É a partir dos resultados dessa pesquisa que são levantados os riscos e os respectivos planos de ação para gerenciá-los. E por fim essas estratégias são adotadas, testadas e periodicamente o seu sistema vai ser colocado à prova novamente.
Agora, você deve estar se perguntando quais são os meios mais comuns de verificar isso, certo? Confira, abaixo, as abordagens mais comuns de segurança ofensiva!
Testes de penetração
Teste de penetração — ou só Pentest — é uma abordagem que procura brechas no sistema para invadi-los. E, em seguida, os resultados dessas tentativas são compartilhados com o resto da equipe para que soluções de defesa sejam consideradas — se necessário.
Programa de recompensa por bugs
Esse é um modelo coletivo de segurança ofensiva, e que tem adquirido popularidade porque é efetivo, em primeiro lugar. Mas também porque amplia uma rede global de proteção digital.
Afinal de contas, o programa de recompensa por bugs pode ser postado publicamente para que qualquer pessoa publique uma vulnerabilidade encontrada. E, assim, esse indivíduo recebe uma recompensa pelo seu achado.
Ou, paralelamente, o programa pode ser publicado de maneira particular. Nesses casos, um teste simulado e controlado é realizado com poucas pessoas, que vão fazer o melhor para invadir e violar os dados das suas defesas cibernéticas.
O mais interessante dessa abordagem é a sua flexibilidade. Assim como destacamos acima a estratégia que pode ser adotada, os resultados obtidos também são amplos.
Por exemplo: você pode definir algumas regras, para identificar apenas o que realmente tem interesse, ou permitir uma série de alvos conforme as pessoas vão testar na prática.
Red teaming
Falamos, também, sobre o red team e como ele é tido como um diferencial em segurança ofensiva. Pois, nessa intenção de criar uma espécie de jogo (vermelho contra azul), estabelece-se também uma competição para testar ao máximo seu ataque e sua defesa.
Dessa maneira, você tem também um bom indicativo do que funciona bem, dentro da sua empresa, o que precisa de ajustes e o que deve ser descartado.
Até por isso, é interessante que esse tipo de abordagem ocorra de maneira periódica. Afinal, assim como novas soluções são lançadas de maneira ininterrupta, também surgem novas possibilidades de invasão realizadas por criminosos.
Gestão de vulnerabilidades
Por fim, a gestão de vulnerabilidades é outra abordagem relevante do ponto de vista da segurança ofensiva. Pois, com esse tipo de ação, você controla, monitora e aprende a prever os problemas, garantindo atualização contínua à sua segurança cibernética.
Como escolher a abordagem ideal na sua empresa?
Com base no que vimos, até aqui, você deve ter entendido o que é segurança ofensiva e o impacto positivo dela para o seu negócio. Mas ainda não deve ter ficado claro qual é a melhor estratégia para a sua empresa, especificamente.
E a verdade é que isso varia. E depende de muitos fatores, inclusive.
Por exemplo: o Pentest pode ser diferenciado quando você tem um produto ou serviço novo e ainda não conhece, a fundo, suas vulnerabilidades.
Além disso, é uma boa abordagem para reciclar tudo o que já se sabe sobre determinadas ameaças, compreendendo como elas mudaram ao longo do tempo.
Já o programa de recompensa por bugs tem uma atuação destacada em casos inversos: quando produtos ou serviços já têm bom tempo de lançamento e diversos testes já foram realizados.
Nesses casos, pessoas podem encontrar carências até então não identificadas.
E o red team é uma abordagem de mais destaque quando envolve uma avaliação mais pluralizada dos seus sistemas, e com foco interno também.
Dessa maneira, todos são engajados a participar e podem identificar oportunidades tanto relacionadas à segurança ofensiva, quanto nas ações defensivas.
Lembrando, contudo, do que falamos anteriormente: cada caso é uma situação particular. Você pode usar uma ou mais abordagens, se preferir, se essa ação combinada surtir o efeito desejado.
Ferramentas de segurança ofensiva
Vamos falar também sobre algumas das ferramentas mais usadas para esse tipo de estratégia. Assim, você vai ver o quanto segurança ofensiva e inteligência cibernética caminham lado a lado. Confira!
Metasploit Framework
Metasploit Framework é uma ferramenta de código aberto que permite testes de penetração por toda a comunidade de segurança digital.
Algo que, como mencionamos anteriormente, é um abertura ampla, mas providencial para aproximar mais coletivamente os profissionais e apontar boas oportunidades de segurança cibernética.
Ettercap
Muito usada em ataques Man in the Middle, a Ettercap é conhecida por manipular (ou injetar) tráfego na rede. O que é um meio também relevante de compreender como
SQLmap
Injeções de SQL estão entre os ataques mais comuns, entre os crimes virtuais conhecidos. E são meios eficientes para testar, controladamente, as suas defesas. Afinal, os meios de invasão desse tipo de ferramenta são variados.
E, assim, fica mais fácil identificar, prevenir e defender-se de ações maliciosas.
Aircrack-NG
Aircrack-ng é mais usada para ataques contra redes sem fio. Um importante meio de aprender como se defender disso, especialmente, em empresas que dependem menos do cabeamento para se conectar.
SSLStrip
SSLStrip ataque as conexões por meio de uma sessão HTTP não criptada, tornando todo o tráfego da rede visível. E sua segurança ofensiva pode usar esse tipo de ferramenta para aprender a se defender melhor de ataques MITM (Man in the Middle).
Evilgrade
Por fim, temos o Evilgrade, que é outro tipo de ataque man in the middle.
Só que, aqui, ele funciona como uma falsa atualização de softwares. É outra forma valiosa de identificar oportunidades de invasão aos seus sistemas.
Conclusão
A segurança ofensiva é um meio de colocar o seu negócio ao ataque contra criminosos virtuais. Ou seja: você faz uso das mesmas estratégias e tecnologias que hackers usam.
Com a diferença é que você aprende a se prevenir por meio dessa estratégia e, consequentemente, também descobre as melhores formas de proteção.
Sem falar que esses testes internos servem para melhorar, continuamente, a segurança cibernética da sua empresa.
Então, é importante analisar as abordagens e as ferramentas que vão ser usadas, para gerar mais alinhamento com as necessidades e objetivos desses testes.
Dê uma conferida detalhada nas ferramentas que mencionamos acima e também nas abordagens. Seja por meio do red team, do Pentest ou do programa de recompensa, você consegue fazer um trabalho dedicado e personalizado para o seu negócio prosperar.
E, gradativamente, reduzir os riscos proporcionados por criminosos virtuais.
O tunelamento de DNS é uma técnica de ataque DNS que envolve a codificação de informações de outros protocolos ou programas em consultas e respostas DNS. O tunelamento de DNS geralmente envolve cargas de dados que podem se conectar a um servidor DNS alvo, permitindo que o invasor gerencie aplicativos e o servidor remoto.
O tunelamento de DNS tende a depender da conectividade de rede externa do sistema comprometido — o tunelamento de DNS precisa de uma maneira de acessar um servidor DNS interno com acesso à rede. Os invasores também precisam controlar um servidor e um domínio que podem funcionar como um servidor autoritativo para executar programas executáveis de carga útil de dados e o tunelamento do lado do servidor.
Impacto do tunelamento DNS
O DNS foi criado inicialmente para resolução de nomes e não para troca de dados, portanto, muitas vezes não é visto como um risco para exfiltração de dados ou trocas maliciosas de informações. A maioria das organizações concentra seus esforços de segurança no tráfego da web e de e-mail, pois os considera uma fonte regular de ataques. Como resultado, o DNS é frequentemente negligenciado.
O DNS é um protocolo confidencial e arraigado, então os criminosos cibernéticos podem tirar vantagem do fato de que muitas organizações não costumam investigar pacotes DNS em busca de comportamento mal-intencionado.
Além disso, pacotes de aplicativos de tunelamento são hoje uma indústria e amplamente acessíveis pela internet. Um invasor não precisa ser particularmente sofisticado para realizar explorações de tunelamento de DNS.
As ameaças representadas por explorações de tunelamento de DNS incluem:
Explorações de tunelamento de DNS podem fornecer aos invasores um canal secundário acessível para exfiltrar informações roubadas. O DNS fornece um meio secreto de comunicação para contornar firewalls.
Os criminosos cibernéticos usam diferentes tipos de protocolos, como HTTP ou SSH, para conectar-se ao DNS, o que lhes permite passar secretamente dados roubados ou tráfego IP.
O túnel DNS pode ser usado como um canal de controle completo para um host interno que já foi explorado. Isso permite que cibercriminosos baixem códigos para malware, roubem secretamente registros da organização ou tenham acesso remoto completo aos servidores, entre outros.
Os túneis DNS também podem ser usados para contornar portais cativos, para que não seja necessário pagar por serviços de wi-fi.
O tunelamento de DNS usa o protocolo DNS para tunelar informações e malware por meio de um modelo cliente-servidor.
Casos típicos de abuso incluem:
Exfiltração de dados — cibercriminosos extraem informações confidenciais via DNS. Esta não é a abordagem mais eficaz para obter dados do PC da vítima, considerando toda a codificação e custos adicionais, mas funciona.
Comando e controle (C2) — os cibercriminosos utilizam o protocolo DNS para enviar comandos simples para, por exemplo, instalar um trojan de acesso remoto (RAT).
Tunelamento IP sobre DNS — alguns utilitários podem ter atualizado a pilha IP por meio da convenção de resposta de consulta DNS. Isso simplifica as ações maliciosas.
O tunelamento DNS utiliza o protocolo DNS para tunelar malware e outros dados por meio de um modelo cliente-servidor. Isso normalmente envolve as seguintes etapas:
O cibercriminoso registra um domínio, por exemplo, malsite.com. O servidor de nomes do domínio direciona para o servidor do cibercriminoso, onde o malware de tunelamento está instalado.
O cibercriminoso infecta um computador com malware, que penetra no firewall da organização. As solicitações de DNS sempre têm permissão para entrar e sair do firewall, permitindo que o computador infectado envie consultas ao resolvedor de DNS. O resolvedor de DNS então envia solicitações de endereços IP para servidores de domínio raiz e de nível superior.
O resolvedor de DNS encaminha as consultas para o servidor do cibercriminoso, onde o programa de tunelamento é implementado. Assim, é criada uma conexão entre o cibercriminoso e a vítima por meio do resolvedor de DNS. O invasor pode usar esse túnel para fins maliciosos, como a exfiltração de informações. Não há conexão direta entre o cibercriminoso e a vítima, dificultando o rastreamento do computador do cibercriminoso.
5 técnicas e ferramentas para detectar tunelamento DNS
1. Detecção de anomalias
A detecção de anomalias é uma ferramenta poderosa para identificar potenciais tunelamentos de DNS. Este método envolve o monitoramento do tráfego DNS e a busca por padrões ou comportamentos que se desviem do normal. Se uma solicitação ou resposta de DNS específica parecer incomum, pode ser um sinal de tunelamento de DNS.
Por exemplo, se uma consulta DNS contiver quantidades anormalmente grandes de dados, ou se houver um número excessivo de solicitações DNS de uma fonte específica, isso pode indicar atividade de tunelamento DNS. O desafio aqui, no entanto, é definir o que constitui um comportamento “normal”. Isso pode variar muito dependendo da natureza da rede e do seu uso típico.
2. Análise de carga útil
A análise de carga útil envolve o exame dos dados reais transmitidos em consultas e respostas DNS. Este pode ser um método muito eficaz para detectar tunelamento DNS, pois os dados transmitidos em um cenário de tunelamento geralmente são bem diferentes daqueles de uma consulta ou resposta DNS normal.
No entanto, a análise de payload pode exigir muitos recursos. Exige uma quantidade significativa de poder de processamento e capacidade de armazenamento, além de conhecimento avançado de protocolos DNS e estruturas de dados. Além disso, payloads criptografados podem ser difíceis de analisar, tornando esse método menos eficaz em alguns casos.
3. Limitação de taxa
A limitação de taxa é uma técnica que limita o número de consultas DNS que podem ser feitas a partir de uma fonte específica em um determinado período. A ideia é que, ao limitar a taxa de consultas, fica mais difícil para um invasor usar o tunelamento de DNS para exfiltrar dados ou obter acesso não autorizado.
Embora este método possa ser eficaz em muitos casos, tem suas desvantagens. Limitações de taxa agressivas podem interferir no tráfego DNS legítimo e impactar negativamente o desempenho da rede. Além disso, não impede completamente o tunelamento de DNS — apenas o torna mais lento.
4. Sistemas de Detecção de Intrusão (IDS)
Sistemas de Detecção de Intrusão (IDS) são uma classe de software de segurança que monitora o tráfego de rede em busca de sinais de atividade maliciosa. Muitas soluções de IDS são capazes de detectar tunelamento de DNS buscando padrões e comportamentos indicativos de tal atividade.
Um IDS pode ser uma ferramenta valiosa na detecção de tunelamento de DNS, mas não é uma solução mágica. Como qualquer método de detecção, ele tem suas limitações e potencial para falsos positivos. Além disso, a eficácia de um IDS depende das regras e assinaturas que utiliza para detectar ameaças. Se o IDS não for mantido atualizado com as informações mais recentes sobre ameaças, sua eficácia pode ser significativamente reduzida.
5. Ferramentas de monitoramento de DNS
Por fim, há uma série de ferramentas especializadas disponíveis, projetadas especificamente para monitorar o tráfego DNS e detectar tunelamento de DNS. Essas ferramentas geralmente combinam vários dos métodos acima em um único pacote, oferecendo uma solução mais abrangente para detectar tunelamento de DNS. Essas ferramentas podem ser bastante eficazes, mas também exigem um certo nível de experiência para serem usadas com eficiência.
Melhores práticas para evitar ataques de tunelamento DNS
Prevenir ataques de tunelamento de DNS requer uma abordagem multifacetada, combinando elementos técnicos e humanos. Aqui estão algumas práticas recomendadas que podem ajudar as organizações a proteger suas redes contra esse tipo de ataque.
Monitore regularmente o tráfego DNS
O monitoramento contínuo do tráfego DNS é a primeira linha de defesa contra ataques de tunelamento de DNS. Procure por anomalias, como um volume anormalmente alto de consultas DNS, registros de texto DNS extensos ou solicitações DNS para domínios desconhecidos ou suspeitos. Soluções avançadas de detecção de ameaças podem ajudar a automatizar esse processo, fornecendo monitoramento e alertas em tempo real.
Implementar extensões de segurança de DNS (DNSSEC)
DNSSEC é um conjunto de extensões que adiciona uma camada de segurança ao protocolo DNS. Ele utiliza assinaturas digitais para verificar a autenticidade dos dados DNS, prevenindo spoofing e outros ataques baseados em DNS. No entanto, o DNSSEC não impede diretamente o tunelamento de DNS, pois não inspeciona a carga útil dos pacotes DNS. Ele pode, no entanto, ser combinado com outras medidas para aprimorar a segurança geral do DNS.
Utilizar regras de firewall
Firewalls podem ser configurados para bloquear o tráfego DNS de saída para todos os servidores DNS, exceto os autorizados. Isso pode ajudar a prevenir ataques de tunelamento de DNS, limitando a capacidade de agentes maliciosos se comunicarem com seus servidores DNS. Além disso, firewalls podem ser usados para inspecionar e filtrar o tráfego DNS, bloqueando consultas ou respostas DNS suspeitas.
Limitar ou bloquear consultas DNS desnecessárias
Bloquear ou limitar consultas DNS desnecessárias pode ajudar a reduzir a superfície de ataque do tunelamento DNS. Isso inclui bloquear consultas DNS para domínios inexistentes e limitar a taxa de consultas DNS de uma única fonte. Os servidores DNS podem ser configurados para rejeitar consultas para determinados tipos de registros comumente usados no tunelamento DNS, como registros TXT ou NULL.
Patches e atualizações regulares
Manter sistemas, softwares e dispositivos de rede atualizados é um aspecto crítico da segurança da rede. A aplicação regular de patches pode ajudar a proteger contra vulnerabilidades que podem ser exploradas para realizar ataques de tunelamento de DNS. Os patches de segurança devem ser aplicados assim que estiverem disponíveis, e as atualizações devem ser testadas antes da implantação para garantir que não introduzam novas vulnerabilidades.
