Hardening de Servidores Linux e WEB - EaD

Data de início alterada para 04/11

Esse curso tem como objetivo apresentar para administradores de redes e servidores Linux, como realizar o processo de hardening em seus servidores, como proteger suas redes, e como realizar um tunning em seus servidores web, com a implementação de módulos de segurança e WAF (WEB Application Firewall), de forma prática e muito bem detalhada. 

O aluno implementará e configurará na prática, o sistema de monitoramento Nagios, configurando-o para monitorar roteadores, impressoras, máquinas e servidores Linux e Windows.

Todo o conteúdo do treinamento engloba o que é cobrado na certificação LPIC-303 (Linux Security), possibilitando que o aluno possa realizar essa prova com o conhecimento necessário para passar pela mesma com sucesso.

Instrutor - Leonardo Afonso Amorim


Bacharel em Engenharia de Computação com Enfase em Automação Industrial pela PUC-GO. Mestrando em Ciências da Computação pela Universidade Federal de Goiás (Linha de Pesquisa: Inteligência Computacional) . Certificado LPIC-2. 10 anos de experiência com Linux. Ministrou mais de 100 cursos EaD dentre eles: Formação Linux, Hardening de Servidores e Pentest em Redes além de cursos de Java. Atuou como Analista de Infraestrutura Senior na 4Linux.

Período: 04/11 à 09/12
Horário: 20h00 às 22h00 (de segunda a quinta-feira)
Local: Internet
Carga horária: 40h
Investimento: R$ 600,00 (10% de desconto para pgto via depósito)

Quem tiver interesse no curso, por favor, acesse o link http://bit.ly/ZkbwEE e faça sua inscrição no curso "Hardening em Servidores Linux e WEB " que em breve enviarei um e-mail para o pgto via PagSeguro.


Ementa

Configurações de Segurança pós instalação

Auditoria;

Conceitos de Hardening;

Implementação Hardening;

Fail2Ban;

PortKnocking;

Utilização do Módulos PAM;

Procurando por senhas fracas (John);

Lastcomm;

Snoopy;

Trabalhando com ACLs de File System

O que são as ACLs;

Trabalhando com as ACLs;

Isolamento de Serviços

Conceitos e utilização do Chroot para o isolamento de serviços;

Instalação e Configuração do Apache;

Instalação e Configuração do PHP + Suhosin;

Instalação e Configuração do MySQL;

Segurança Avançada no Apache

• Mod_security
• Mod_evasive
• Mod_qos
• Mod_limitipconn
• OSSEC

Utilização do SYSLOG-NG

Administração e monitoramento de logs e evento no sistema;

Logs locais e remotos;

Gerenciamento de Servidores de Logs;

Definindo política de rotacionamento de logs;

HIDS (Host Intrusion Detection System)

Entendendo um HIDS;

Instalação e  Configuração do OSSEC;

Instalação e Configuração de interface web para gerenciamento dos logs do OSSEC;

IDS / IPS (Network Intrusion Detection System / Intrusion Prevention System)

Entendendo um NIDS e um IPS;

Instalação e Configuração do Snort;

Instalação e Configuração do Guardian;

Implementação de Sistema de Monitoramento
    Entendendo os sistemas de monitoramento;
    Ferramentas utilizadas;
    Instalação e configuração do Nagios;
    Plugins do Nagios;

Análise de Vulnerabilidades

Implementação de um Scanner;

Instalação e Utilização do Nmap;

Instalação e Utilização do Nikto;

Instalação do Nessus;

Configuração do Nessus;

Criptografia de Discos

Entendendo a criptografia de discos;

Ferramentas existentes;

Instalando e configurando o DM-Crypt;

Criptografando Partições

Segurança utilizando Firewalls

Instalação do IPTables;

Configuração do IPTables;

Configuração de Regras utilizando Scripts;

NAT;

Tabela Mangle;

VPN - OpenVPN

VPN gateway-to-gateway;

Instalação do OpenVPN;

Configuração da interfaces virtuais de rede;

Configuração do OpenVPN

Enfim, OSCE!

Enfim, depois de algumas semanas ralando bastante, fiz a prova da OSCE e passei. Só tenho uma coisa a dizer: TRY HARDER! Isso aprendi diretamente com o pessoal da Offensive Security, no curso presencial que fiz com eles em Las Vegas.

Mesmo para alguns amigos, mantive em segredo que já estava me preparando para a prova e que já tinha passado. Isso foi só para fazer surpresa mesmo hehehe.

Quando lia os posts sobre a OSCE em site internacionais, não pensava que pudesse ser da forma que a galera falava: dor, muita dor. Mas é realmente isso! E só tenho a agradecer as pílulas de cafeína que me mantiveram acordado para cumprir com o desafio final em 48h. E valeu à pena :-)

Abaixo, o certificado (obviamente sem o ID, prq é o que algumas pessoas que me atacam mais querem: ID da Ec-Council, LPI, e agora a OffSec):

Para quem quiser uma visão mais detalhada sobre o curso e o desafio para ganhar a certificação, pode dar uma lida neste post: http://blog.g0tmi1k.com/2013/08/review-cracking-perimeter-ctp-offensive.html

Agora, quem sabe um dia eu consiga tirar a NOP?! Mais uma certificação para a "to do list" ;-)

Script em Python para verificar se um site está infectado

Há vários meses atrás fiz um script em Python, que verificava se determinado site estava infectado com algum malware. Como base para essa verificação, o script consulta uma ferramenta gratuita da Sucuri.net, que é o SiteCheck.

Para que o script funcione, são necessárias duas coisas: colocar o arquivo urls.txt no mesmo diretório onde estiver o script python, e o beatifulsoup.py ( http://www.crummy.com/software/BeautifulSoup/bs4/download/ ) também no mesmo local.

Para usá-lo, basta salvar o script como alguma-coisa.py, e executá-lo com o comando:
#python alguma-coisa.py

O script vai carregar todas as URLs que houverem no arquivo txt e consultar o SiteCheck da Sucuri.

Segue abaixo o código em Python:

#Imports 
 
import sys 
import httplib 
from BeautifulSoup import BeautifulSoup 


USER_AGENT = "Mozilla/5.0 (Windows NT 5.1; rv:6.0.1) Gecko/20100101 Firefox/6.0.1" 
PRAGMA = "no-cache" 
ACCEPT = "text/html,application/xhtml+xml,application/xml;q=0.9,*/*;q=0.8"

def blacklist(dat): 
    url = dat.replace("\n","")
    print "[*] Checking blacklist Database -> ",url 
    type =None 
    status = "[*] " 
    host = "sitecheck.sucuri.net" 
    path = "/results/" 
    path +=url
 
    data = "" 
    http = httplib.HTTP(host) 
     
    http.putrequest("GET", path) 
    http.putheader("Host", host) 
    http.putheader("User-Agent", USER_AGENT) 
    http.putheader("Accept", ACCEPT)    
    http.putheader("Accept-Encoding", "gzip, deflate") 
    http.putheader("Accept-Charset", "ISO-8859-1,utf-8;q=0.7,*;q=0.7") 
    http.putheader("Connection", "keep-alive")   
    http.putheader("","\n") 
    http.putheader("","\n") 
    http.endheaders() 
     
    http.send(data) 
      
    errcode, errmsg, headers = http.getreply() 
     
    f = http.getfile() 
    html = f.read() 
     
    soup = BeautifulSoup(html) 
    tag = soup.findAll('b') 
    for item in tag: 
        if item.text != "Not Listed": 
            if item.text != "Listed.": 
                status += item.text 
                status += "\n" 
                status += "[*] " 
    print status 

empty = open('urls.txt','r') 
if empty.read() == "": 
    print "[*] No host found to test" 
empty.close()

file_url = open('urls.txt','r') 
line = file_url.readlines() 
for url in line: 
    print "#######################################################" 
    print "##         Verificando a URL ",url 
    print "#######################################################" 
    blacklist(str(url)); 
file_url.close()

Espero aproveitem, e para quem quiser brincar, sinta-se à vontade para melhorar o script e usá-lo como quiser.

Curso de Engenharia Social & Pentest Físico - EaD

De 14/10 à 30/10/2013

AVISO: A data do curso foi alterada, para não conflitar com uma turma que está ocorrendo no momento, e teve seu final adiado. E as aulas serão apenas segunda, terça e quarta

OBS: esse é o curso Engenharia Social, que faz parte das formações completas. Qualquer pessoa pode participar do mesmo.

Curso de Engenharia Social - EaD, com conteúdo completamente prático em ambiente interativo, com acesso à tela do instrutor e download de todo o material de aula (vídeos de cada aula gravada e slides utilizados nas aulas).

Os alunos, além de montarem seus laboratórios com máquinas virtuais (com S.Os. atuais), terão exemplos reais de ataques de engenharia social, tanto para explorar a segurança física, quanto sistemas e pessoas.

Todo o curso será baseado na distribuição KALI LINUX, quando forem necessárias ferramentas computacionais, com ferramentas livres e gratuitas!

O instrutor do curso possui anos de experiência em testes de invasão, tanto em redes, quanto aplicações web, redes wireless e review code. E é uma oportunidade de aprender com quem convive com as necessidades e situações reais do mercado atual, com clientes de grande porte como multinacionais de diversas áreas (Petróleo e Gás, Telecomunicações, Transportes, Operadoras de Cartão de Crédito, Bancos, Instituições Militares e Órgãos Públicos).

Alguns dos tópicos abordados no curso são:

• Princípios de Engenharia Social
• Princípios de Inteligência e Contra Inteligência
• Segurança Física
• Busca de Informações
• Pentest Físico
• PNL para Hacking
• No-Tech e Low-Tech Hacking
• Softwares para ataques de Eng. Soc.
• Lockpicking

Quem tiver interesse no curso, por favor, acesse o link http://bit.ly/ZkbwEE e faça sua inscrição no curso "Engenharia Social". Para pagamentos via PagSeguro, após preencher o formulário, aguarde o e-mail com o link de cobrança do PagSeguro.

Carga horária: 18h
Investimento: R$ 400,00 (com possibilidade de parcelamento em até 12x no cartão de crédito)
Desconto: 10% de desconto para pgtos à vista.
Horário de aula: 22h às 24h
Dias de aula: seg., ter., e qua.
Início das aulas: 14/10/2013

Observação: para pagamentos via depósito em conta, com 10% de desconto, entre em contato com luizwt at gmail.com.

Novidades no HackProofing

Pessoal, temos algumas novidades para os próximos meses, e gostaria de compartilhar com vocês:

- No mês que vem, setembro, teremos a primeira turma do curso de Engenharia Social, com duração de 18 horas. Em breve abrirei as inscrições, e a ementa será que está logo abaixo:

• Princípios de Engenharia Social
• Princípios de Inteligência e Contra Inteligência
• Segurança Física
• Busca de Informações
• Pentest Físico
• PNL para Hacking
• No-Tech e Low-Tech Hacking
• Softwares para ataques de Eng. Soc.
• Lockpicking

-----------------------//-----------------------

- Em outubro ocorrerá o OWASP AppSec latam, em Lima-Peru, e três brasileiros palestrarão lá: eu (Secure Development Training: A Real Case of Sucess), Jordan Bonagura (The CSOs Myopia) e Bruno Ribeiro (Securing the digital certificate issuing process). Para quem quiser saber mais informações sober o evento, visite https://www.owasp.org/index.php/AppSecLatam2013/pt

-----------------------//-----------------------

- Em breve começarei a vender aqui pelo blog, nosso HackPwn, bem parecido com o equipamento abaixo, porém mais compacto, mais leve e com bateria de duração de 5h.

Esse é o equipamento utilizado na confecção de nosso HackPwn, como podem ver, é menor, com a bateria integrada, e bem mais discreto:

Nosso equipamento terá capacidade de quebrar senhas de redes wireless que detectar enquanto estiver em funcionamento (pode estar até mesmo dentro do seu bolso. Você poderá levantar um hotspot wifi com ele e permitir que outras pessoas naveguem na internet, e capture os dados de quem quer que esteja conectado, redirecionar páginas e etc.

O objetivo do equipamento é facilitar o processo de teste de invasão em redes wireless, e ataques que envolvam uma certa dose de engenharia social.

E esse aparelhinho já virá com os seguintes softwares instalados e configurados:

• Nmap network scanner
• Tcpdump sniffer
• Netcat Hacker’s swiss army knife
• aircrack Wireless network analysis
• kismet Wireless network analysis
• reaver Wireless attack
• Perl Scripting Language
• Python Scripting Language
• openvpn VPN Client and Server
• dsniff suite of sniffing and spoofing tools, including arpspoof
• nbtscan NetBIOS Network Scanner
• snort Sniffer, Packet Logger, Intrusion Detection System
• karma Wireless Sniffing Tool
• samba2-client Windows File Sharing Client
• elinks Text Based Web Browser
• yafc FTP Client
• openssh-sftp-client Secure File Transfer Client
• Metasploit security framwork
• SET Social Engineering Tolkit

Em breve também anunciaremos o início das vendas. Estamos preparando alguns outros equipamentos interessantes que só encontramos fora do Brasil. Aguardem!

NSA e a espionagem no Brasil: novidade?

Aproveitando que está rolando uma conversa na lista exploits-brasil sobre o assunto, colocarei abaixo o e-mail que enviei para a lista acerca do assunto em voga: a captura de dados pela NSA em um nível mundial.

A preocupação de muitos é sobre segurança de software e hardware apenas, mas esquecem o fator principal: o humano!

Segue minha msg enviada à lista...

Enquanto os jornais estão alardeando sobre o assunto essa semana, lembro que desde o final da década de 90 ouço falar do Echelon e Carnivore. O Echelon, que já existia desde a Guerra Fria só foi adaptado para a tecnologia atual (fibras) e agora o pessoal chama de PRISM.

James Bamford, pequisador sobre assuntos correlatos, já fala da existência da NSA desde a década de 80, quando todo mundo achava que NSA era a NASA escrito errado kkkkk. 

Os EUA tentaram grampear os cabos marítimos com um submarino, e não dando certo, criaram bases em locais estratégicos onde poderiam grampear os cabos por meios terrestres. Tanto que a "figurinha" apresentada sobre os cabos de fibras marítimas e os pontos de captura de tráfego como se fosse uma novidade, esse mesmo cara apresentou na palestra dele da RSA USA 2009...

Um dos livros dele: http://www.slideshare.net/The_Night_fox/james-bamford-shadow-factory-9216895

E só uma coisa: a NSA tbm utiliza o que ele chamam de gumshoes, que nada mais são do que infiltrados nas organizações. Espionagem não é só software e nem hardware, mas a principal ferramenta é justamente o ser humano. Enquanto se discute captura de dados na rede, esquecem-se que infiltragem é a principal técnica de espionagem.

A própria sede da AT&T em São Francisco tem uma pequena salinha, onde todo o tráfego que entra nos EUA por lá, é capturado. E lá não é software, mas sim infiltragem física para essa captura de dados. Segue uma das imagens da palestra desse cara na NSA 2009:

Agora, essa notícia de que o governo brasileiro não sabia da base da NSA na embaixada, é historinha na minha opinião.

Quem deu todo o treinamento para os brasileiros na época de criação e implementação do antigo SNI (hoje em dia com o nome de ABIN)? Certamente que não foram os índios... 

Oficiais do Exército foram para os EUA passar alguns meses lá para serem treinados na área de inteligência,  e posteriormente americanos vieram ao Brasil para continuar o trabalho. Ninguém nunca ouviu falar em troca de favores? Será que o Brasil não tem histórico, pelo menos nos últimos 60 anos, de possuir VÁRIAS bases americanas em solo nacional? Basta pesquisar sobre as bases, principalmente no Norte e Nordeste de nosso país.

E mais uma última pergunta: será que o SNI (e atualmente a ABIN) acreditava que os americanos não tinha nenhum interesse em nossas informações e recursos, principalmente um país como os EUA que possui histórico de querer controlar tudo (vide Guerra Fria e todo seu histórico de espionagem)?

Mais uma vez acham que somos otários...

OWASP AppSec LATAM 2013

Caros,

Como líder do Capítulo OWASP Rio de Janeiro, é uma honra anunciar que o Capítulo OWASP do Peru sediará a conferência mundial OWASP AppSec Latam 2013 que será realizada em Lima, Peru. O evento consiste em dois dias de treinamento (1 e 2 de outubro), seguidos por dois dias de palestras (3 e 4 de outubro). O evento será em teatros e auditórios da Universidade Tecnológica do Peru.

A Conferência Global AppSec Latin America 2013 é um encontro onde líderes latino-americanos de segurança da informação apresentam ideias inovadoras. Eventos OWASP atraem a audiência global interessada em saber os próximos passos sobre os assuntos apresentados.

São esperados entre 200 e 250 participantes de toda a América Latina e de diferentes indústrias, incluindo Governo, Finanças, Telecomunicações, Tecnologia, Saúde e Educação, entre outros.

Se você está interessado em oferecer treinamentos ou apresentaçãoes, estão abertos os chamados para palestras e treinamentos - CFT - e CFP.

O prazo para apresentação de propostas é 02 de agosto de 2013.

Para mais informações, visite: appseclatam.org

Você também pode seguir no twitter para ficar atualizado com notícias e anúncios: @AppSecLatam

Estou disponível para qualquer dúvida.

PS: além do evento valer muito à pena, as passagens aéreas de ida e volta para Lima chegam a ser mais baratas do que para alguns estados brasileiros.