MASTER SECURITY

Conteúdo programático

• 1 - CEHV12 - Certified Ethical Hacker - Security Implementation
  Carga Horária: 40 horas

  Introdução ao Ethical Hacking

  Informações sobre segurança de informações e overview

   

  Footprinting & Reconnaissance

  Conceitos e metodologias

  Footprinting, permite ao invasor coletar informações sobre a arquitetura de segurança interna e externa. A coleta de informações também ajuda a identificar as vulnerabilidades dentro de um sistema. Obter informações detalhadas sobre o alvo reduz a área de foco e aproxima o atacante do alvo. O invasor concentra o alvo por meio do intervalo de endereços ele percorre, para hackear o alvo.

  Scanning Networks

  Conceitos e metodologias

  
  Após a fase de Footprinting, o hacker possui  informações suficientes sobre o alvo. Agora a fase de rede do Scanning requer que algumas dessas informações prossigam. O Scanning de rede é um método de obter informações da rede alvo, como identificação de hosts, informações de porta e serviços, varrendo redes e portas. O principal objetivo do Scanning de rede é:

   

  Identificar hosts ativos em uma rede Para identificar portas abertas e fechadasIdentificar informações do sistema operacional Para identificar serviços em execução em uma rede Identificar processos em execução em uma redeIdentificar a presença de dispositivos de segurança, como firewalls Identificar a arquitetura do sistemaIdentificar serviços em execuçãoIdentificar vulnerabilidades

             

  Enumeration

  Conceitos e metodologias

  Nos processos anteriores, como Footprinting e Scanning, entendemos como coletar informações sobre qualquer organização, site de destino ou uma rede específica. Agora estamos nos movendo para observar o alvo mais de perto, a fim de obter informações detalhadas. Essas informações são confidenciais, como informações de rede, recursos de rede, caminhos de roteamento, GNMP, DNG e outras informações relacionadas a protocolos, informações de usuários e grupos. Essas informações confidenciais são necessárias para obter acesso a um sistema. Essas informações são coletadas usando diferentes ferramentas e técnicas

  Vulnerability Analysis

  Conceitos e metodologias

  A análise de vulnerabilidade faz parte da fase de varredura. No ciclo Hacking, a análise de vulnerabilidade é uma parte importante, abordando:

  Conceito de Avaliação de Vulnerabilidade

  Fases de Avaliação de Vulnerabilidade

  Tipos de avaliação

  Ferramentas e outros aspectos importantes.

  System Hacking

  Metodologia de Hacking do Sistema

  O processo de invasão do sistema são classificados em alguns métodos. Esses métodos também são denominados como metodologia de hacking CEH pelo EC-Council.

  Esta metodologia inclui:

  1. Cracking passwords (Cracking de senhas)
  2. Escalating privileges (Privilégios)
  3. Executing applications (Executando aplicativos)
  4. Hiding files (Escondendo arquivos)
  5. Covering tracks (Encobrindo pegadas)

  Malware Threats

  Conceitos e metodologias

  O termo malware é um termo genérico que define uma ampla variedade de softwares potencialmente prejudiciais. Este software malicioso são projetados para obter acesso a máquinas de destino, roubar informações e prejudicar o sistema de destino. O malware pode ser classificado em vários tipos, incluindo Vírus, Worms, Keyloggers, Spywares, Trojans, Ransomware e outros softwares maliciosos. O malware é o problema mais crítico, proeminente e emergente, hoje em dia. Softwares maliciosos classificados como Vírus e Worm possuem algumas técnicas antigas, enquanto o Malware possui algumas novas técnicas que os tornam mais perigosos.

  Sniffing

  Conceitos e metodologias

  Com Sniffing, você monitora todos os tipos de tráfego protegidos ou desprotegidos. Usando Sniffing são obtidas informações que podem ser úteis para novos ataques e podem causar problemas para a vítima.

  Como:

  Ataques de controle de acesso à mídia (MAC),

  Ataques de protocolo de configuração dinâmica de hosts (DHCP),

  Envenenamento de protocolo de resolução de endereços (ARP),

  Ataque de falsificação de MAC,

  Envenenamento DNG.

  Sniffers não são ferramentas de hacking, são ferramentas de diagnóstico normalmente usadas para observar problemas de rede, solução de problemas.

   

  Social Engineering

  Conceitos e metodologias

  Essa técnica é diferente de outras técnicas de roubo de informações usadas até hoje. Todas as ferramentas e técnicas usadas para hackear um sistema são técnicas e exigem um profundo conhecimento de redes, sistemas operacionais e outros domínios. A engenharia social é a parte não técnica da obtenção de informações. É mais popular entre outras técnicas devido à sua facilidade.

  O modelo Security inclui segurança de rede, segurança de outros recursos de uma rede corporativa, mas os humanos são o componente mais importante da segurança. Todas as medidas de segurança são dependentes. Se um usuário for descuidado para proteger suas credenciais de login, todas as arquiteturas de segurança falharão.

  Conscientizar, treinar e informar o usuário sobre os ataques de Engenharia Social, e o impacto de seu descuido ajudará a fortalecer a segurança dos endpoints.

   

  Denial of Services

  Conceitos e metodologias

  "Denial-of-Service" está focado nos ataques DoS e Distributed Denial-of-Service (DDOG). Compreenda os diferentes ataques de DoS e DDoS, técnicas de ataque, conceito de botnets, ferramentas de ataque e suas contramedidas e estratégias usadas para se defender contra esses ataques. 

   

  Session Hijacking

  Conceitos e metodologias

  O conceito de sequestro de sessão é um tema interessante entre outros cenários. É basicamente sequestro de sessões, interceptando a comunicação entre os hosts. O invasor geralmente intercepta a comunicação para obter as funções de usuário autenticado ou para a intenção do ataque Man-in-the-Middle.

   

  Evading IDS, Firewall and Honeypots

  Conceitos e metodologias

  Como a conscientização da segurança cibernética e de rede está aumentando dia a dia, é muito importante entender os principais conceitos do Sistema de Detecção / Defesa de Intrusão (IDG) bem como o IPG (Intrusion Prevention Gystem). Às vezes, a mesma tecnologia pode ser usada para detecção e prevenção de alguma ameaça.

   

  Hacking Web Server

  Conceitos e metodologias

  Servidores Web são usados para hospedagem de sites. Os servidores da Web podem ser implantados em um hardware de servidor da Web separado ou instalados em um host como um programa. O próximo aplicativo da Web é flexível e capaz de oferecer suporte a clientes maiores. Aprenda as vulnerabilidades de servidores Web, técnicas e ferramentas de ataque a servidores Web e seus métodos de atenuação.

   

  Hacking Web Applications

  Conceitos e metodologias

  O aumento significativo no uso do aplicativo da Web requer alta disponibilidade e desempenho extremo do aplicativo. Nesta era moderna, o aplicativo da web são popularmente usado no setor corporativo para realizar tarefas importantes e também para fins sociais. Tornou-se um grande desafio para os administradores de servidores da Web e administradores do Application Server garantir medidas de segurança e eliminar vulnerabilidades para fornecer alta disponibilidade e desempenho.

   

  SQL Injection

  Conceitos e metodologias

  O SQL Injection é um método popular e complexo de ataque a serviços, aplicativos e bancos de dados da Web. Requer conhecimento profundo sobre processos de aplicativos da Web e seus componentes. O SQL Injection é basicamente a inserção de código ou script mal-intencionado, explorando vulnerabilidades para iniciar um ataque alimentado por componentes de back-end. Aprenda conceitos ou injeção de SQL, tipos, metodologia e técnicas de defesa da injeção de SQL.

   

  Hacking Wireless Networks

  Conceitos e metodologias

  As redes sem fio são a tecnologia mais comum e popular. O uso da rede sem fio aumenta não apenas a mobilidade em uma rede, mas também aumenta a flexibilidade para os usuários finais. No início da era da tecnologia sem fio, a rede sem fio não deveria ser segura o suficiente para proteger as informações. No entanto, muitas técnicas de criptografia são usadas para proteger os canais de comunicação sem fio. Aprendas o conceito de redes sem fio, ameaças e vulnerabilidades, ataques a tecnologias sem fio e suas técnicas de defesa.

   

  Hacking Mobile Plataforms

  Conceitos e metodologias

  Os smartphones disponíveis no mercado utilizam diferentes sistemas operacionais, como iOS, Blackberry OS, Android, Symbian e Windows, etc. Eles também oferecem armazenamento de aplicativos para os usuários baixarem aplicativos compatíveis e executados em seus respectivos sistemas operacionais. Os telefones celulares popularmente para transações on-line, aplicativos bancários e outros aplicativos financeiros, os dispositivos de telefonia móvel precisam ter segurança sólida para manter as transações seguras e confidenciais. Da mesma forma, os celulares têm dados importantes, como contatos, mensagens, e-mails, credenciais de login e arquivos que podem ser roubados facilmente quando o telefone é comprometido.

   

  IoT Hacking

  Conceitos e metodologias

  Os objetivos de compreender os conceitos da IoT, uma visão geral das ameaças e ataques da IoT, metodologia de hacking da IoT, ferramentas e técnicas de hacking IoT, ferramenta de segurança e testes de penetração. Internet of Things (IoT) é um ambiente de dispositivos físicos, como eletrodomésticos, dispositivos eletrônicos, sensores, etc., que são incorporados a programas de software e placas de interface de rede para torná-los capazes de se conectar e se comunicar com a rede.

   

  Cloud Computing

  A tecnologia Cloud Computing é a mais popular hoje em dia devido à sua flexibilidade e suporte à mobilidade. Cloud Computing permite o acesso a recursos pessoais e compartilhados com gerenciamento mínimo. Há também uma solução de nuvem de terceiros disponível que economiza recursos e manutenção em expansão. Principais características da computação em nuvem incluem:

  • On-demand
  • self-service
  • Distributed Storage
  • Rapid Elasticity
  • Measured Services
  • Automated Management
  • Virtualization

   

  Cryptography

  A confidencialidade, a integridade e a disponibilidade são os três componentes básicos em torno dos quais devemos construir e manter os modelos de segurança. É preciso conhecer diferentes métodos pelos quais podemos implementar cada um desses recursos. Aprenda os conceitos e métodos diferentes pelos quais pode-se implementar criptografia e hashing.

• 2 - CISSP - Certified Information Systems Security Professional
  Carga Horária: 32 horas

  Segurança e Gerenciamento de Risco

  • Princípios que regem a tríade confidencialidade, integridade, e disponibilidade.
  • Governança da segurança – objetivo, meta, missão, papéis e responsabilidades, estratégias.
  • Programa completo e efetivo de segurança – frameworks de controle, “due care”, “due diligence”.
  • Conformidade – “GRC”, leis, regulamentos, privacidade.
  • Aspectos legais globais e regulamentos – crime cibernético, propriedade intelectual, importação/exportação, fluxo de dados entre fronteiras, privacidade.
  • Entendendo a ética profissional – programas éticos, falácias, “hacking” e “hacktivismo”.
  • Desenvolvendo e implantando políticas de segurança.
  • Requerimentos de BCP e DRP – escopo, BIA, exposição de ativos, RPO.
  • Gerenciando a segurança pessoal – seleção do candidato, políticas de contratação e término, controles para terceirizados, privacidade.
  • Conceitos de gerenciamento de risco – metodologias de avaliação, qualitativa, quantitativa, identificação de ameaças e vulnerabilidades, seleção de contramedidas, tipos de controles, ativos tangíveis e intangíveis, frameworks para gerenciamento de risco.
  • Modelagem de ameaças – determinando potenciais ataques, tecnologias e processos para remediar ameaças.
  • Práticas e estratégias em aquisições – hardware, software, serviços, governança de terceiros, segurança mínima, requerimentos de nível de serviço.
  • Conscientização, treinamento, e educação em segurança – treinamento formal, atividades de conscientização, criando a cultura de segurança na empresa.

  
  

  Segurança dos Ativos da Informação.

  • Gerenciando os dados – política, papéis e responsabilidades, qualidade, documentação e organização.
  • Padronização dos dados – controle do ciclo de vida, modelagem, manutenção da base de dados, auditoria dos dados, armazenagem e arquivamento.
  • Longevidade e uso dos dados – segurança, acesso, compartilhamento, disseminação, publicação.
  • Suporte aos ativos e classificação da informação.
  • Gerenciamento dos ativos – licenciamento de software, ciclo de vida dos equipamentos. Proteção da privacidade.
  • Garantir a retenção apropriada – mídias, hardware, política.
  • Determinar os controles de segurança dos dados – dados em descanso, dados em trânsito, “baselines”.
  • Padrões internacionais – “Cyber Security” e “Critical Infrasctructure Framework”.

  
  

  Engenharia da Segurança.

  • Uso dos princípios de projeto seguro no ciclo de vida da engenharia.
  • Conceitos fundamentais de modelos de segurança – componentes, ESA, Zachman Framework, análise de requerimentos, documentando a arquitetura segura.
  • Modelos de avaliação da segurança em sistemas de informação – modelos para avaliação de produtos.
  • Capacidade de segurança dos sistemas de informação – mecanismos de controle de acesso, gerenciamento de memória.
  • Vulnerabilidades das arquiteturas de segurança – “SPOF”, vulnerabilidade em “client-based” e “server-based”.
  • Segurança em bases de dados – sistemas paralelos, distribuídos, criptográficos.
  • Ameaças e vulnerabilidades em sistemas e software – baseados na web.
  • Vulnerabilidades em sistemas móveis – riscos envolvendo computadores e trabalhadores remotos.
  • Vulnerabilidades em sistemas embarcados e sistemas físicos cibernéticos – “Industrial Control Systems (ICS)”, “Supervisory Control and Data Acquisition (SCADA)”.
  • Aplicação e uso da criptografia – origem, PKI, criação, distribuição e gerenciamento da chave, assinatura digital, gerenciamento de direitos digitais (DRM), não repúdio, funções “hash”, ataques.
  • Considerações de projeto do site e das instalações – “security survey”.
  • Planejamento do site – “Crime Prevention through Environmental Design (CPTED)”, janelas.
  • Projeto e implantação de segurança nas instalações.
  • Implantando e operando a segurança das instalações – sala das comunicações e sala dos servidores, área restrita e área de segurança, segurança em “data center”.

  
  

  Comunicações e Segurança da Rede

  • Projeto e arquitetura de uma rede segura – OSI, TCP/IP, redes IP, serviços de diretório.
  • Implicações dos protocolos multicamada.
  • Protocolos convergentes – VoIP, segurança em “wi-fi”, criptografia nas comunicações.
  • Proteção dos componentes da rede – mídias de transmissão, segurança “end point”, controle de acesso à rede.
  • Canais seguros de comunicação – voz, colaboração multimídia, acesso remoto, redes virtualizadas.
  • Ataques à rede – a rede como canal de ataque, “bastion of defense”, técnicas de “scanning”, gerenciamento de eventos de segurança (SEM), ataques de fragmentação IP, Dos/DDoS, “spoofing”, “session highjack”.

  
  

  Identidade e Gerenciamento de Acesso.

  • Acesso físico e lógico aos ativos.
  • Identificação e autenticação de pessoas e dispositivos – tecnologias de identificação, autenticação, e autorização.
  • Implantando gerenciamento de identidade – gerenciamento de senhas, contas, perfis, diretórios, autenticação simples e múltiplo fator, “accountability”, gerenciamento da sessão, gerenciamento de credenciais, registro e prova de identidade.
  • Identidade como serviço (IDaaS).
  • Integração de serviços de terceiros.
  • Implantando e gerenciando mecanismos de autorização – controles de acesso “role-based”, “rule-based”, MAC, DAC.
  • Prevenindo ou mitigando ataques ao controle de acesso.
  • Identidade e provisionamento do ciclo de vida do acesso – provisionamento, revisão, revogação.

  
  

  Testes e Avaliação da Segurança

  • Avaliação e estratégia dos testes – revisão de “logs”, transações, revisão e teste de código, uso indevido de testes, teste da interface.
  • Coletar dados de processos de segurança.
  • Auditoria interna e de terceiros – SAS 70, “Service Organization Control (SOC)”.

  
  

  Operações Seguras

  • Investigações – cena do crime, política, papéis, responsabilidades, resposta a incidentes, fase de recuperação, coleta e manuseio de evidências, monitoração contínua de tráfego de saída, vazamento de dados (DLP).
  • Provisionamento de recursos através do gerenciamento de configurações.
  • Conceitos fundamentais de operações seguras – controle de contas privilegiadas, grupos e papéis, “SOD”, rotação de funções, SLAs.
  • Proteção dos recursos – ativos tangíveis, intangíveis, gerenciamento de mídias.
  • Resposta a incidentes – gerenciamento de incidentes, medições, métricas, relatórios, detecção, resposta, recuperação, revisão com lições aprendidas.
  • Medidas preventivas contra ataques – divulgação não autorizada, IDS, serviços de segurança terceirizados, “sandbox”, “anti-malware”, “honeypots”, “honeynets”.
  • Patch e gerenciamento de vulnerabilidades.
  • Gerenciamento de mudanças e configurações – estratégias de recuperação do site, sites de processamentos múltiplos, resiliência e tolerância a falhas.
  • O processo de recuperação de desastres – documentação do plano, resposta, pessoal, envolvido, comunicações, restauração, treinamento, exercício, avaliação, e manutenção do plano.
  • Revisão do plano de teste – “tabletop”, “walk-through”, “simulation”, “parallel”, “full-interruption”, atualização e manutenção do plano.
  • Continuidade do negócio e outras áreas de risco – implantando e operando a segurança de perímetro.
  • Controle de acesso – cartões de acesso, CCTV.
  • Segurança interna – IDS interno.
  • Segurança interna e do prédio - portas.
  • Segurança pessoal. – privacidade, viagens e coação do colaborador.

  
  

  Segurança no Ciclo de Vida do Desenvolvimento de Software.

  • Esboço da segurança no desenvolvimento de software – ciclo de vida, modelo de maturidade, gerencia de mudanças.
  • Ambiente e controles de segurança – métodos de desenvolvimento, ”data warehouse”, vulnerabilidades em base de dados, aplicações web.
  • Segurança do ambiente de software – ferramentas, bibliotecas, código fonte, proteção contra malware.
  • Mecanismos de proteção de software – “security kernel”, “reference monitor”, “TCB”, gerenciamento de configuração, segurança do repositório de código, segurança de “Application Programming Interfaces (API)”.
  • Avaliando a efetividade da segurança do software – certificação, acreditação, auditoria de mudanças, análise e mitigação de riscos.
  • Avaliando a segurança do software adquirido.

• 3 - PenTest - Testes de Invasão
  Carga Horária: 24 horas

  • Avaliação da ameaça:
    • Ferramentas de avaliação de segurança;
    • Procurando ameaças e vulnerabilidades;
    • Avaliar ameaças;
    • Técnicas de avaliação de ameaças;
    • PenTest;
    • Escaneamento avançado de vulnerabilidades.
  • Monitoramento de Log:
    • Monitorar arquivos de log;
    • Informação de segurança e gerenciamento de eventos.
  • Testes de software:
    • Revisão de código;
    • Testes de código;
    • Teste de Fuzz;
    • Teste de interface;
    • Teste de caso de mau uso;
    • Análise de cobertura de teste.
  • Recuperação de desastres:
    • Visão geral da recuperação de desastres;
    • Backups;
    • Validando backups;
    • Sites de recuperação de desastres;
    • Testando planos BC / DR.
  • Avaliação de processos de segurança:
    • Coletar dados do processo de segurança;
    • Revisão de gerenciamento;
    • Métricas de segurança;
    • Auditorias e avaliações;
    • Gerenciamento de controle.
  • Teste Organizacional PenTest:
    • Auditar mecanismos de segurança;
    • Localizando vulnerabilidades de segurança;
    • Compreensão do PenTest;
    • Identificando os vetores de ataque.
  • Tipos de PenTest:
    • Testes Black, gray, e white-box;
    • Verificando de fora para dentro;
    • Olhando para dentro da organização;
    • Testando outros métodos.
  • Técnicas Pen Testing:
    • Seguindo um plano estruturado;
    • Planejando o pen test;
    • Atacando o sistema
    • Entregando os resultados.

• 4 - Information Security Foundation based on ISO 27001 (ISFS)
  Carga Horária: 16 horas

  Módulo 1
  Introdução
  Dicas para o exame
  
  Módulo 2
  Introdução à família da norma ISO 27000
  
  Modulo 3
  ISO 27001 e valor da informação com o CID (Confiabilidade, Integridade e Disponibilidade)
  
  Módulo 4
  Definição e Análise de Ameaças riscos e riscos
  
  Módulo 5
  Gerenciamento de incidentes de segurança da informação
  
  Módulo 6
  Médidas de segurança de informação
  
  Módulo 7
  Legislação sobre sobre segurança da informação
  
  Módulo 8
  Resolução de Simulado

• 5 - Privacy & Data Protection Foundation
  Carga Horária: 16 horas

  
  Módulo 1 - Fundamentos de Privacidade e Proteção de Dado
  Módulo 2 - Organizando a Proteção de Dados
  Módulo 3 - Proteção de dados
  Módulo 4 - Noções sobre LGPD
  Módulo 5 - Simulado

• 6 - Privacy & Data Protection Practitioner
  Carga Horária: 24 horas

  Módulo I 
  

  ·        Informação e segurança.

  
  Módulo II

  ·        Alinhamento estratégico

  
  Módulo III

  ·        Gestão de riscos

  
  Módulo IV

  ·        Medidas de segurança e o impacto para a organização.

  Módulo V  

  ·        Conformidade

  Módulo VI

  ·        Fundamentos em Privacidade

  Módulo VII

  ·        Proteção de dados.

  Módulo VIII

  ·        Sistemas de Gestão de Proteção e Privacidade de Dados.

  Módulo IX

  ·        As 5 fases para a implantação de um sistema de gestão em privacidade.

  Fase 1 - Preparação do Sistema de Gestão;
  Fase 2 - Organização do Sistema de Gestão;
  Fase 3 - Implementação o Sistema de Gestão;
  Fase 4 - Governança do Sistema de Gestão;
  Fase 5 - Avaliação e Melhoria Contínua do Sistema de Gestão.

• 7 - LGPD - Lei Geral de Proteção de Dados
  Carga Horária: 16 horas

  Introdução

  Fundamentos e regulamentações de privacidade

  Leis semelhantes em outros países

  Definições de privacidade

  Tipos de dados pessoais

  Fundamentos legítimos e limitação de propósito

  Requisitos para o tratamento legítimo de dados pessoais

  Direitos do titular dos dados

   

  MÓDULO 1

   

  PRINCIPIOS UTILIZADOS NA LGPD 

  Finalidade

  Adequação

  Necessidade

  Livre Acesso

  Qualidade dos dados

  Transparência

  Segurança

  Prevenção

  Não discriminação

  Responsabilidade e prestação de contas 

   

  MÓDULO 2

   

  Importância de proteção de dados para a organização

  ANPD (Agência Nacional de Proteção de Dados)

  Relatório de Impacto sobre Proteção de Dados (RIPD)

  Transferência internacional de dados

  Proteção de dados em contratos

     

  MÓDULO 3

   

  DIREITOS DO TITULAR DE DADOS 

  Confirmação de existência

  Relatório de dados simplificado e completo

  anonimização, bloqueio e eliminação de dados

  Portabilidade

  Compartilhamento

  Revogação do consentimento

    

  MÓDULO 4

   

  AGENTES DE TRATAMENTO 

  Titular dos dados

  Controlador

  Operador

  Encarregado

  ANPD

  Responsabilidade Civil

   

  MÓDULO 5

   

  Proteção de dados e governança de TI 

  ISO 27001

  ISO 29100

  Privacidade

  Confidencialidade

  integridade

  disponibilidade

  Violação de dados