Ethical Hacking Enumeration of Web Attack Surface

Neste curso você irá realizar exercícios práticos de enumeração em um “alvo real” (aplicações reais que estão disponíveis na Internet), utilizando técnicas e ferramentas que hackers profissionais usam (inclusive assistentes baseados em IA), enquanto aprende a mapear a superfície de ataque web de uma organização, que é o conjunto das aplicações que está visível na Internet.

O conteúdo não é voltado a ensinar como utilizar um scan de vulnerabilidades, mas vai apresentar técnicas e ferramentas que, isoladas ou em conjunto, permitem que os hackers possam reconhecer os ativos externos de uma organização, tanto ou mais que ela própria.

A crescente demanda por sistemas de informação, combinada com uma gestão de ativos deficiente, em especial das aplicações web, leva à negligência na manutenção dos ativos (por exemplo, aplicação de patches), abrindo caminho para o sucesso de ataques de fácil execução, porém com grande impacto nas organizações.

Quando uma organização “esquece” de uma aplicação web na Internet, por exemplo, ao remover de uma página o link que leva a ela, mas não realiza o seu takedown, a aplicação continua “viva” e provavelmente sem manutenção. Ela não pode ser acessada por meio da navegação pelo site principal da organização, mas se alguém encontrar essa URL, pode conseguir acessá-la.

A manutenção também pode se negligenciada por falhas no processo de CI/CD se as aplicações que entraram em produção não ficam documentadas. Então aplicações inteiras, em especial acessadas por subdomínios ou painéis de administração de soluções integradas (Jenkins, etc.) que foram disponibilizadas para testes e usavam credenciais default nestes ambientes continuam disponíveis e, com as constantes alterações das configurações e rede e segurança, podem ficar expostas e se tornarem vetores de ataque poderosos para os hackers.

No curso será proposto um processo sistemático de reconhecimento e enumeração da superfície de ataque web de uma organização, que tem como objetivo identificar o maior número possível de aplicações expostas na Internet, de propriedade de uma organização. Também é possível identificar integrações com terceiros, conhecidas ou esquecidas, e, de forma incidental, outras informações sensíveis (por exemplo, credenciais), que também podem enfraquecer as defesas das organizações.

O processo é implementado com dezenas de técnicas e ferramentas utilizadas por profissionais de segurança ofensiva (“do bem” e “do mal”), e incluem o uso de assistentes baseados em IA.

Ao longo do curso, também discutiremos técnicas de defesa, como uso de CDNs e WAFs, para “dificultar” as atividades de reconhecimento e enumeração, assim como as técnicas de bypass que podem ser utilizadas (serão explicados os conceitos com alguns exemplos, mas não aprofundaremos na configuração de cada produto).

A combinação de abordagens de segurança ofensiva e defensiva faz desse curso um instrumento para o desenvolvimento de um importante mindset: quem quer defender bem, precisa saber como são feitos os ataques; e quem quer atacar bem, precisa saber como as defesas funcionam.

Um grande diferencial do curso são as atividades práticas, que serão executadas em “alvos reais”. Você receberá orientação para escolher uma aplicação que está disponível na Internet podendo, inclusive, ser da sua própria organização. Com os devidos cuidados legais, milhares de aplicações reais estão disponíveis, em produção e poderão ser testadas pelos participantes.

Ah! Não é necessário saber programar. Precisaremos usar alguns scripts simples em bash, mas não se preocupe: vamos aprender a pedir para nosso “amigo” ChatGPT nos ajudar nestas tarefas.