Archive for janeiro 2014
Habilitando o Web Login no Switch A5120
Ligue o switch acessando-o pela console, ou seja, coloque o cabo de console (uma ponta RJ 45 e outra serial 9 pinos) no pc.
Use o programa Putty ou outro similar para acessar o switch pelo console. Basta conectar que ele carregará a interface
HTTP login example
Network requirements
The PC is connected to the device over an IP network. The IP address of the Device
is 192.168.20.66/24.
Configuration procedure
1. Configuration on the device
# Log in to the device via the console port and configure the IP address of VLAN 1 of the device. VLAN 1
is the default VLAN.
<Sysname> system-view
[Sysname] interface vlan-interface 1
[Sysname-VLAN-interface1] ip address 192.168.20.66 255.255.255.0
[Sysname-VLAN-interface1] quit
# Create a local user named admin, and set the password to admin for the user. Specify the Telnet
service type for the local user, and set the command level to 3 for this user.
[Sysname] local-user admin
[Sysname-luser-admin] service-type telnet
[Sysname-luser-admin] authorization-attribute level 3
[Sysname-luser-admin] password simple admin
2. Configuration on the PC
# On the PC, run the web browser. Enter the IP address of the device in the address bar, 192.168.20.66
in this example. The web login page appears.
Mais informações pagina 66 http://h20566.www2.hp.com/portal/site/hpsc/template.BINARYPORTLET/public/kb/docDisplay/resource.process/?spf_p.tpst=kbDocDisplay_ws_BI&spf_p.rid_kbDocDisplay=docDisplayResURL&javax.portlet.begCacheTok=com.vignette.cachetoken&spf_p.rst_kbDocDisplay=wsrp-resourceState%3DdocId%253Demr_na-c02642125-3%257CdocLocale%253Den_US&javax.portlet.endCacheTok=com.vignette.cachetoken
Pentest - "Penetration Test“
Em uma tradução livre, Pentest deriva do conceito inglês “Penetration Test“, que em português significa “Teste de Penetração
O Pentest trata-se de um método para testar e descobrir vulnerabilidades em uma Rede e/ou Sistemas Operacionais e até mesmo Aplicações Web. Neste processo, são analisadas e exploradas todas as possibilidades de vulnerabilidades. O “Teste de Penetração” engloba métodos de avaliação de segurança em um sistema de computador ou rede, realizando simulações de ataques como se fosse um estranho mal intencionado no intuito de invadir um sistema. Tais testes possibilitam verificar a real estrutura do sistema, que é vasculhado em todas as áreas co-relacionadas à estrutura de segurança.
Termos Legais
Assim como qualquer outra prestação de serviço, um Teste de Invasão inclui termos e acordos jurídicos antes de realizados, bem como formalização de contrato contendo multas, especificando de forma clara e objetiva os tipos de ataques que podem ser realizados, prazos, ocorrências, sigilos, e obviamente autorização, por parte da organização.
Por que minha empresa/organização necessita de um Pentest?
- O Mundo gira em torno de dinheiro, atualmente qual o maior bem das empresas ? Informação.
- Testes e Simulações de ataques reais, normalmente executados por Crackers, ou indivíduos mal intencionados, entende-se por: Espionagem Industrial (Concorrência),Funcionários insatisfeitos, Sabotagem, etc.
- Testes de Intrusão, normalmente são efetuados sem a Equipe de Segurança estar a par da consultoria contratada, sendo assim, assegurando os testes em condições de simulação real.
Tendo em mente esse escopo (CIDAL) devidamente protegido, você diminui significadamente a chance de roubo de informações de sua empresa.
CIDAL: Confidencialidade, Integridade, Disponibilidade, Autenticidade, e Legalidade.
Tipos de Pentest
- Blind
Nessa modalidade o auditor não conhece nada sobre o alvo que irá atacar, porém o alvo sabe que será atacado e o que será feito durante o teste.
Nessa modalidade o auditor não conhece nada sobre o alvo que irá atacar, porém o alvo sabe que será atacado e o que será feito durante o teste.
- Double Blind
Nessa modalidade o auditor não conhece nada sobre o alvo, e o alvo não sabe que será atacado e tão pouco sabe quais testes o auditor irá realizar.
Nessa modalidade o auditor não conhece nada sobre o alvo, e o alvo não sabe que será atacado e tão pouco sabe quais testes o auditor irá realizar.
- Gray Box
Nessa modalidade o auditor tem conhecimento parcial do alvo, e o alvo sabe que será atacado e também sabe quais testes serão realizados.
Nessa modalidade o auditor tem conhecimento parcial do alvo, e o alvo sabe que será atacado e também sabe quais testes serão realizados.
- Double Gray Box
Nessa modalidade o auditor tem conhecimento parcial do alvo, e o alvo sabe que será atacado, porém, não sabe quais testes serão executados.
Nessa modalidade o auditor tem conhecimento parcial do alvo, e o alvo sabe que será atacado, porém, não sabe quais testes serão executados.
- Tandem
Nessa modalidade o auditor tem total conhecimento sobre o alvo, o alvo sabe que será atacado e o que será feito durante o ataque.
Nessa modalidade o auditor tem total conhecimento sobre o alvo, o alvo sabe que será atacado e o que será feito durante o ataque.
- Reversal
Nessa modalidade o auditor tem conhecimento total do alvo, porém o alvo não sabe que será atacado, e tão pouco sabe quais testes serão executados.
Nessa modalidade o auditor tem conhecimento total do alvo, porém o alvo não sabe que será atacado, e tão pouco sabe quais testes serão executados.
Fases de um Teste de Penetração
Levantamento de Informações
Considerada uma das fases mais significantes de um Pentest. Todo o decorrer do Pentest será baseado nas informações obtidas nesta fase.
Alguns exemplos de informações coletadas nessa fase:
- Nome de Funcionários
- Telefones
- Sites da Empresa
- Concorrentes
- Endereços
Realizando Varreduras
Nesta fase são levantadas informações mais detalhadas do alvo, essas, que possibilitam a definição de vetores de ataques, bem como as possibilidades de se ganhar acesso ao sistema, utilizando a exploração de alguma vulnerabilidade encontrada.
Alguns exemplos de informações coletadas nessa fase:
- Sistema Operacional Utilizado pelo alvo
- Serviços em uso no alvo
- Versões dos serviços disponíveis
- Firewalls
- Presença ou Ausência de Sistemas de Detecção de Intrusos na Rede.
Ganhando Acesso
Nesta fase o Pentester coloca em prática todo o planejamento obtido através das fases anteriores, podendo realizar uma série de ataques contra o alvo, tais como:
- Explorar o Sistema Operacional
- Explorar os serviços
- Realizar Ataques de Força Bruta remotos e local
- Usar de Engenharia Social
- Realizar ataques contra as Aplicações Web
- Utilizar Sniffers na Rede.
Mantendo o Acesso
Ao conseguir o acesso, o Pentester procura de alguma forma manter esse acesso efetuado através de seus ataques. Deixando claro que, por questões de segurança, isso normalmente não ocorre em Testes de Penetração, a não ser que já esteja estipulado previamente pelo contratante.
Apagando Rastros
Nesta fase final, o Pentester apaga todos seus rastros e vestígios causados pelas fases anteriores. Partindo do princípio que o profissional foi devidamente contratado para realizar os testes, não há necessidade primordial nesta fase, a não ser que esteja estipulado e planejado testar a capacidade de forense e respostas a incidentes da contratante.
Conclusão
Concluímos que, não é novidade que o acesso a Informação por parte das pessoas está numa crescente inquantificável. Atualmente realizamos operações e tarefas com um simples Gadget em mãos, essas, que a alguns anos atrás necessitaria um Desktop dedicado. Por outro lado, essa ascensão tecnológica tem aumentado significadamente brechas, vulnerabilidades, e exposição de informações de forma indevida e descuidada, não só de pessoas físicas mas também de grandes corporações. Basicamente isso ocorre devido a não importância dada pela empresas no que se refere a um bem e capital denominado “Informação”, bem como a falta de investimento em profissionais capacitados neste setor. Dentro dessa perspectiva, um Teste de Penetração (Pentest), visa minimizar e mitigar esses riscos previamente, assim sendo potencializando a proteção a sua empresa.
