my-pentest-v1-online-version

؟!چشا ؟ چگ ؟ دیگش چ

آضایی تا فضای سایثشی

12/سپتامبر/16 [email protected] 2

$میلیارد 447

جاوی واشی از حمالت تخمیه خسارت (ياشىگته پست)سایبری ساالو

حمل 1400

سازمان ای میاوگیه تعذاد حمالت ب جان در فتمم

$میلین 11

میاوگیه خسارت واشی از یک حمل یک سازمان بسرگ در جانمفق ب

ما 8

مذت زمان کشف حمالت میاوگیه پس از آغاز تخریب پیشرفت

74 %

ITدرصذی از مذیران سازمان ا کFirewall را کافی می داوىذ


تهدیدات و حمالت سایبری

انسانی

منشأ داخلی

ساده پیشرفته

Advanced Insider Threat

منشأ خارجی

ساده پیشرفته

APT

ماشینی

ناشناخته شناخته شده

Zero-Day Attack


حوالت کسکسا یشسا بذافضاسای ػوهی خشد سایبشیحوالت

اخاری سایبشی , اذاف شخصی... حوالت سایبشی

اذاف هلیتی قهیتی اذاف ایذلطیک حوالت پیششفت هقام(APT)

اذاف سیاسی ظاهی


سایا ای هتصل ت ضثک

حلق آسیة پزیش صجیش•

....کیالگش –یشس –تشجاى •

هاضیي هیای سکی حول ت • ضثک داخلی

سشیسای هثتی تش ضثک

ک فر ت سشسا • سشیسای آالیي

ک فر ت ضثک داخلی•

دیفیس خشاتکاسی•

سشقت اث اطالػات•

سخت افضاس صیشساخت ضثک

هدها –سئیچ ا –ستشا • ...

کوتشیي هیضاى تشصسسای • ظاست اهیتی

ػذم پیکشتذی هاسة•

تطخیص فر دضاس است•


حول ب سایا کاسبشاى هوسی ای قابل حول شم افضاسای آلد جگ افضاسای سایبشی حلق ضؼیف صجیش

بیشتشیي تؼذاد تع شم افضاسا ػذم کتشل صحیح سدیا سصسسای دائوی ػذم بػاهل خطای اسای


حول ب تجیضات ستشا سئیچ ا هدم ایADSL ایکس ... دسبیي ای هذاس بست سیستن ای کتشل دستشسی

سسسای اثش اگشت▪ کاست خاای هغاطیسی▪

سیستن ای صؼتی (SCADA)ساها ای اتهاسیى صؼتی ▪

سیستن ای هخابشاتی ا▪ هااس فشستذ ای دیجیتال▪ شبک ای هخابشاتی▪


حول ب سشیس دذ حوالت ب سشیسای ایتشتی حول ب سشیس ای شبک داخلی صهاى کافی بشای حول

دستشس پزیشی تجویغ اطالػات قط سدی ب ساصهاى


(پایذاس)حوالت پیـشفت هقام هػؼ RAND تلیذ کاى تشیي اصلی هتحذ ایاالت ائی یشی ت هتؼلق

. اهشیکاػت دس هفهی آسیای فکشظشفیت ایداد تشسػی خت هػؼ ایي تػظ هقام پیـشفت تذیذ هفم

ؿذ هغشح ۲۰۰۶ ػال دس چیي ػایثشی تذیذ تا تقاتلی ؿوذ قذستوذ اسگاى یک تػظ ک تـشی ػایثشی ػولیات اص ای ػلؼل

اعالػاتی تاائیای ا داؿت یا صیشػاختا ت لغو تشای ؿذ ػاصهاذی گشدد اخشا ػشػخت ؿذ تصیغ تصست هذسى سؿای تا حشیف

اها هیکذ اػتفاد تـشی خغاای یا اعالػات فاسی ػاهل اص ػایثشی حول

ای ػلؼل اص اػتفاد ؿاهل پیچیذ عشاحی یک تش هثتی هقام پیـشفت تذیذ تحقیق ٬ ػایثشی قائص ٬ ؿوذ تحشیوای ٬ فشدی خاػػی ؿاهل ػاصش اص هیـد ؼتذ گشاقیوت تش صهاى اغلة ک الصم هخشب اتضاسای تػؼ ػایثشی حول اص ػاد یا هقیاع کچک اعالػاتی لغوات تصیف تشای اهشص

صهاى ت ک ذفوذ یافت ػاصهاى اقذاهات ت اؿاس تشای اها هیـد اػتفاد هیـد اػتفاد APT هفم اص داسذ یاص هتؼذدی حول تشداسای سیضی تشاه


انتخاب هذفیافتن تیم

هکری

تهیه ابسارهای مورد نیاز

تحقیق و بررسی هذف

تست شناسایی

استقرار

نفور اولیه

برقراری بستر ارتباطی

گسترش نفور

فاز سکون و استحکام

سرقت اطالعات

پاکسازی ردپا و پنهان سازی

APT تخریب زوجیر ای دویاAPTمشرتریه


درصذ خسارات 80درصذ از حمالت باعث 20: 80/20قاون .مالی ي اعتباری سازمان ای ي شرکت ا در جان است


ػایثشی اهیت حص اص ػوهی تشداؿتای اص تؼیاسی شخالفت تش هثتی هؼادل ایي اص قؼوت یک فقظ ک کشد دقت تایذ

. اػت فی اتضاس – داؾ

اضشاف سایثشی

استاذاسدا

تست فر

داص اتضاس

ساثشد هذى ساصهای


آضایی تا تست فر


ت فر ای سا ا پزیشی آػیة کـف ذف تا فر تؼت اػاع تش پزیشد هی صست تدیضات افضاسا شم یا ؿثک ػاصهاى اص هدشی تین داؾ قشاسگیشی هحل , دػتشػی ػغح . گشدد هی تذی تقؼین ذف

اػتاذاسدا تا تغاتق خت هویضی ذف تا اهیتی اسصیاتی

هثشی قؾ اتضاسا فشدی خالقیتای آى دس ؿد هی ادام هشخغ هؼیاس الوللی تیي اػتاذاسد لیؼتای چک ذاسد . ؼتذ اصلی


ااع تؼت فر ػیا (Black-Box)خؼثخاکؼتشی (Gray-Box)خؼثػفیذ (White-Box)خؼثهقؼیت تین فر

داخل ػاصهاى(Internal) خاسج ػاصهاى(External) اذاف تؼت فر

هثتی تش داسایی(Asset Based) هثتی تش ذف هـخص( CTF)


Information Black Box Gray Box White Box

Network Ranges X x x

IP Addresses X x x

Domains X x x

Network Documentation x x

Application Documentation x x

API Documentation x x

Application Credentials x

Database Credentials x

Server Credentials x


حوالت اقؼی هحذدیت صهای ذاسذ! حوالت اقؼی یاصی ت کـف توام آػیة پزیشیا ذاسذ تا

!یک قغ فر کافی اػتحوالت اقؼی هحذدیت ای هالی اهکاات ذاسذ! حوالت اقؼی داسای اگیض ای هالی اقتصادی قی ؼتذ حوالت اقؼی تکشاس پزیشی ذاسذ! حوالت اقؼی کاهال ػلیق ای هثتی تش خالقیت کش هی

.تاؿذ .....


ؿاػایی ذف خوغ آسی اعالػات ؿاػایی آػیة پزیشی تاییذ آى

تذیي گضاسؿات اسائ ساکاس سفغ


جوغ آسی اطالػات اطالػاتWhois ،IP Domain . ا سشیس ای ضثک ع سخ سشیس دذای ذف سیستن ا هجاس پیص پست ای سشیس دذ

پیص اهیتی خدکاس سشیس دذ ا تسط پیصNessus Metasploit پیص سشسا شم افضاسا تسط سیستن تجاسیSaint Vulnerability Scanner پیص ضثک سشس ا تسطFramework Canvas تست ای جاثی پیص شم افضاس ای تحت ب تسط شم افضاس اسکشAcuntix Webinspect NTO

Spider پیص دستی

تشسسی هطکالت هطقی شم افضاسای تحت ب حزف هاسد خطا(False Positive)

(ایي هسد تا تا دسخاست سسوی کاسفشها اجام خاذ ضذ)فر استفاد اص آسیة پزیشی ای کطف ضذ دس هشاحل قثل فر

گضاسش


22%

38%

21%

38%

49%

27%

0% 10% 20% 30% 40% 50% 60%

Bruteforce

Vulnerable server …

Predictable resource …

Information Leakage

SQL Injection

Cross Site Scripting

اػتاذاسدا اسصیاتی Information Systems Security Assessment Framework (ISSAF) NIST Guideline on Network Security Testing(NIST800) Open Web Application Security Project (OWASP)

اػتاذاسدا هتذلطی ای اخشایی Open Source Security Testing Methodology Manual (OSSTMM)


خوغ آسی الی• هصاحث یا هؼتذات فی• ؿاػایی ػشیؼا فؼال• ؿاػایی ؼخ شم افضاسا• اػکي پیؾ پستای تاص•• ...


گضاسؽ آػیة پزیشی فی• هیضاى سیؼک فی• هیضاى هخاعش آػیة پزیشی• BUGهؼتذات فی تـشیح • (POC)اسائ هؼتذات اثثات • اسائ ساکاس سفغ آػیة پزیشی• ح ؿاػایی آػیة پزیشی•• ...


خوغ آسی اعالػات الی• هصاحث یا هؼتذات فی• ؿاػایی تدیضات فؼال ؿثک• اػکي پستای تاص ؿثک• هؼواسی وثذی ؿثک•• ...


تصی ای کلی هاخ • سیکشد هاخ تا هخاعش• عثق تذی سیؼک تذیذ• CVSS v2هحاػث سیؼک تا • الیت تذی هخاعشات•• ....


0

0.5

1

1.5

2

2.5

3

High

Medium

Low

ػاها تهی تلیذ گضاسؿات• آهاس کلی آػیة پزیشیا• ت تفکیک ع اسصیاتی آصهى• ت تفکیک ع اتضاس سؽ• وداسای هخاعشات•• ...


اتضاسای تاص هتي• اتضاسای سایگاى• اتضاسای تداسی تا الیؼغ هؼتثش• اتضاسای تداسی کشک ؿذ• اتضاسای تهی اختصاصی• اػکشیپتای دػت یغ• تدیضات ػخت افضاسی فی•

•AirpCap •TAP •Wifi-Spy •Hardware Keylogger •Bug Hunter •SDR


تلیذ هحتای خدکاس• ػشػت تاال دس هؼتذ ػاصی• ساکاسای سفغ آػیة پزیشی• تلیذ لحظ ای آهاس وداس• هحاػث دقیق سیؼک هخاعشات•• ....


ت هتفاتی تایح هدشی تین تدشت اتضاس ع تا هتاػة فر تؼت• تایی ت آصهی یچ ؼثیؼت اهشی اهیت ایت دس اها داسد وشا . تاؿذ وی ػاصهاى IT ای داسایی اهیت ـاگش

آصهى هدشی تین ؿد هی کـف خذیذی ای پزیشی آػیة سص ش•

هـکالت کـف ت قادس هاتغ واى اػاع تش تا آصهى صهاى دس فر .سػذ هی ظش ت حیاتی اهشی آصهى ای دس تشگضاسی تید دس اػت

چک پزیشیا آػیة واى هدذدا سفغ هـکالت تایذ آصهى ش اص تؼذ•

خذیذی پزیشی آػیة تشص هخة تاؿذ ؿذ سفغ دسػتی ت ک ؿد . تاؿذ ـذ


هقؼیت اسصیاب

هتذلطی اسصیاتی تحلیل هخاطشات اهیتی

تکیکای هسد استفاد تشای ضاسایی سش تحلیل هخاطش آسیة پزیشیا

فشکاس تکشاس

اص سا دس

تشکیة هتذلطیای

NIST 800-30 NIST 800-115

هتذلطی

NIST 800-30

تکاسگیشی اتضاس ای خدکاس پیؾ (تا تاییذ تایح)آػیة پزیشی

تکاسگیشی ػکای اسصیاتی اهیتی پیـشفت ؿوذ

آالیض تایح تػظ احذای هشتط تؼت دػتی قؼوت ای حؼاع

ها 3

ای الیت تاال اسصیاتی تحلیل هخاطشات اهیتی ساها






اص سا دس


NIST 800-30 NIST 800-115

هتذلطی

NIST 800-30

تکاسگیشی اتضاس ای خدکاس پیؾ • (تا تاییذ تایح)آػیة پزیشی

تکاسگیشی ػکای اسصیاتی اهیتی • پیـشفت ؿوذ

ها ۶

ای الیت هتسطاسصیاتی تحلیل هخاطشات اهیتی ساها






اص سا دس


NIST 800-30 NIST 800-115

هتذلطی

NIST 800-30

تکاسگیشی اتضاس ای خدکاس پیؾ • ( تذى تاییذ تایح)آػیة پزیشی

ها1۲

ای الیت کناسصیاتی تحلیل هخاطشات اهیتی ساها


آضایی تا اسصیاتی اهیتی


تشسػی ضؼیت فؼلی داسایی ا تش اػاع چک لیؼتای اهیتی پیکشتذی ػیؼتن ػاهل پیکشتذی تدیضات

پیکشتذی ػشیؼا

تشسػی هؼواسی ؿثک اهیت تغاتق پیکشتذی تا اػتاذاسا تیي الوللی تشسػی صحت هؼتذات هخد ػاصهاى اص ضؼیت فؼلی


ااع اسصیاتی اهیتی: دػتی

تشسػی هؼتذات هخد▪ تشسػی داسایی ت ػیل کاسؿاع خثش▪

خدکاس Agentاػتفاد اص شم افضاسای هثتی تش ▪

▪Nessus

▪GFI LanGurd

Agentاػتفاد اص شم افضاسای تذى یاص ت صة ▪

▪CIS -Audit


هضیتای اسصیاتی اهیتی تش تؼت فر: تؼت فر هثتی تش اػتؼذاد خالقیت یشی فی اػت تؼت فر هثتی تش ؿاغ فشصتای یظ اػت

تؼت فر داسای خغای هثثت صیادی هی تاؿذ

تؼت فر هوکي اػت تاػث تاثیش هفی تش ػشیؼای حؼاع ؿد


هؼایة اسصیاتی اهیتی: اسصیاتی اهیتی هثتی تش پایگا داد چک لیؼتای اػتاذاسد اػت اسصیاتی اهیتی ضؼیت ؿوا دس حوالت اقؼی سا هـخص وی کذ

0اسصیاتی اهیتی حوالت-Day یا تکیکای ظس سا پؿؾ وی دذ. اسصیاتی اهیتی خغاای اؼای هاذ تشاه یؼی سا پؿؾ وی دذ.


آضایی تا ساکاسای اهي ساصی


دی حضشت ح کـتی خد سا کی ػاخت؟هی :هاهس وکاس : !!! قثل اص تاساى ! اص تاساى قثل :هاهس!!

صفحه 31از 41 12/سپتامبر/16 [email protected]

Vulnerability Fix Services

Training

Penetration Testing

Vulnerability Assessment


تشسػی هشس ػسع کذا(Code Review) فاصیگ کـف آػیة پزیشی ای ػویق(Fuzzing) اػتشع تؼت(DDOS & Stress Testing) تؼت کیفیت کاسایی(QOS)


سصذ ػایثشی(CERT) ای اختواػی ؿثکادوا گش ای صیشصهیی ساتظ ػوهی فؼال(Organization)

دػت ت وکاسی اعالع سػای کؼة اعالػات پیـگیشی اص قع خشم(Government)

ؿاػایی هدشهاى ػایثشی اػالم ـذاسای آگا ػاص اػوال الضام قاػذ قایي اػتاذاسدا صفحه

31از 44 12/سپتامبر/16 [email protected]

تذیي ػیاػتاه اهیتی ػاصهاى اسصیاتی اهیتی تؼت فر دس ای (تـشیح دس اػالیذ تؼذ)سا اذاصی ػاصکاسای دفاع ػایثشی اهي ػاصی عشاحی هثتی تش اػتاذاسد ای اهیتی

Update Management

Log Management

NTP

Cellular Architecture

Disaster Recovery Plan


پذافذ ػاهل ػایثشی فایشال ػاها ای تـخیص فر(Firewall & IDP)

حول ▪ (Traffic Obfuscation)هتذای هثن ػاصی تشافیک (0Days Attack)ػذم ؿاػایی حوالت صیشدیغ ▪

ای کتشل دػتشػی ت ؿثک هاتغ (NAC)ػاها اػتقشاس دس ػاصهاای تضسگ دؿاس اػت▪ یاص ت فشگ ػاصی هذیشیت دائوی▪

اهي ػاصی ػشیغ ا(Service Hardening) تخصص دس سا اذاصی▪ یاص ت تدشت

پذافذ غیش ػاهل ػایثشی هایتسیگ ظاست(NOC) آهصؽ هثتی تش اػتاذاسدای تیي الوللی(SANS)

هذیشاى ػاصهاى▪ هتخصصیي فاسی اعالػات▪ کاستشاى▪ پیـگیشی▪

هشاکض پاػخگیی ت سخذاد(CSIRT) اسصیاتی اهیتی تؼت فر

تاصیاتی ػاح خشم یاتی خوغ آسی ؿاذ قای(Forensics)

عشاحی اهیتی ػاصهاى تایذ هثتی تش اػتاذاسدای تیي الوللی تاؿذ▪ (NTP)پیکش تذی صحیح ػشیغ صهاى ▪


تشخی اص اتضاسای دفاع ػایثشی: CERT

SIEM

SOC

APT Hunter

Monitoring

User’s Activity Log

Periodical Penetration Testing

DLP IPS/IDS & Firewall & WAF


تذیي ػیاػتاه اهیتی ػاصهاى اسصیاتی اهیتی تؼت فر دس ای سا اذاصی ػاصکاسای دفاع ػایثشی ػاصیاهي دس تواهی حص ا اهیتیای تغاتق تا اػتاذاسد


هي اهلل التفیق


my-pentest-v1-online-version

Documents