Embed Size (px)
Citation preview
Borys Łącki
Red teaming w Polsce
2017.11.06
Od ponad 10 lat wykonując testy penetracyjne, testujemy bezpieczeństwo i zabezpieczamy
zasoby Klientów.
Borys Łącki
Edukacja
Red teaming
Red teaming - ustalenia
●Cele●Zasady●Komunikacja●Osoby●Godziny●Adresy IP●Plany awaryjne
Red teaming - działania
●Plan●Rekonesans●Atak
Phishing
30% haseł w 15 minut
65%, 90%, 40% - zrób test!
Phishing – zarządzanie incydentem
●hasło: **uje **bane zaj***e was
●DDoS
●CC vc BCC - rekonesans! #fail
●Firewall – globalnie!
●„Biegający pracownik”
Złośliwe oprogramowanie
Złośliwe oprogramowanie
●IT uruchamia załącznik
●2 x AV
●Dział HR → kody źródłowe
Złośliwe oprogramowanie
USB
Internet - Quake 1
Sieć firmowa● CMS – konto demo
● SSH: tomcat7/tomcat7
● Zbędny zasób: obraz testowy - VM
● To samo hasło do serwera Windows
● Błąd WWW -> lokalny admin
● Schemat tworzenia haseł
● Konto administratora AD
● VMware – konsola administracyjna
CCTV – IoT
● Pobierz firmware
● Odszyfruj firmware
● Pobierz dane
konfiguracyjne
● Uruchom swój kod
● Podsłuchaj sieć
firmową
Bezpieczeństwo fizyczne
Dopracowana historia
Systemy kontroli dostępu x 2
Pomieszczenia biurowe
Sala konferencyjna
Serwerownia
Podsumowanie
Skuteczny atak to kwestia czasu i kosztów
Podnoście koszty atakujących!
Bezpieczeństwo to proces :)
Podsumowanie
● Raport● Platforma edukacyjna
https://SecurityInside.pl● Prezentacja dla pracowników● Dyskusja
Obrona - Komunikacja
● Wykrywanie problemów– SIEM, IDS, IPS, Korelacja danych, BOK
● Trening i ćwiczenia pracowników– Edukacja poprzez praktykę i case study
● Zarządzanie incydentami (komunikacja)– Technologia, ludzie, analiza ryzyka
Obrona - Procesy
● Informatyka śledcza– Materiał dowodowy, analiza złośliwego oprogramowania
● Wdrażanie zmian– Krytyczne aktualizacje, czas życia podatności
● Utwardzanie środowisk, spowalnianie atakujących– Rekonfiguracja, reakcja w trakcie incydentu
Materiały dodatkoweFilmy:
APT x 3 - wybrane studium przypadków
Darmowe narzędzia wspomagające proces zabezpieczania Twojej firmy
Urządzenia i usługi bezpieczeństwa IT - pełna ochrona czy zaproszenie dla cyberprzestępców?
Narzędzia do zautomatyzowanego testowania bezpieczeństwa
OWASP Top10 Najpopularniejsze błędy bezpieczeństwa aplikacji WWW
Podstawowy arsenał testera bezpieczeństwa aplikacji WWW
Darmowa edukacja:
https://quiz.securityinside.pl
https://quiz2.securityinside.pl
http://sprawdzpesel.pl
http://sprawdzkontobankowe.pl
https://pixabay.com/en/ - Zdjęcia
https://www.iconfinder.com/Vecteezy - Ikony
https://z3s.pl/szkolenia/https://securityinside.pl
Atak i obrona:● Bezpieczeństwo aplikacji WWW● Bezpieczeństwo aplikacji mobilnych
-20%Obowiązuje 31 dni
Hasło: GuuXXt
Szkolenia – rabat
