Guia-do-Relatorio-DCPT_v1 4(1)

Prévia do material em texto

GUIA DO RELATÓRIO DCPT
 Copyright © Desec Security
 (https://www.desecsecurity.com)
Sobre o Relatório
Inicialmente, precisamos entender que o seu relatório está em avaliação, tanto quanto sua
prova técnica realizada anteriormente.
Isso significa que é esperado do aluno um entregável que tenha o compromisso com a
veracidade de um pentest real.
Seu relatório deve seguir padrões, estando formatado, dividido por tópicos, sendo detalhado
e claro.
Verifique se:
• Seu relatório pode ser facilmente compreendido por uma equipe de gestão técnica e
administrativa;
• Os passos técnicos realizados por você estão coerentes, claros e bem documentados;
• Tanto a formatação do seu relatório, quanto a ortografia foram revisadas, garantindo
uma qualidade superior ao entregável;
• Seu relatório segue uma metodologia de pentest, facilitando assim a organização do
mesmo. Lembramos que a DESEC disponibiliza um modelo de relatório cuja estrutura
e metodologia já estão prontas.
É também importante deixar claro, que:
• A não aprovação do seu relatório resultará em reprovação na certificação DCPT.
• Sugerimos o download do template de relatório disponibilizado pela DESEC, para usar
como modelo no seu exame DCPT.
GUIA DO RELATORIO DCPT V1.4 DESEC SECURITY
 
Narrativa
Detalhe as etapas realizadas por você, durante o exame, como se estivesse contando uma
história. Lembre-se que a ideia é explicar a outras pessoas (sendo elas técnicas ou não)
como o pentest foi realizado, quais vulnerabilidades foram identificadas e quais benefícios a
realização desse pentest trará. 
Não é necessário que sua narrativa seja lúdica, a objetividade não é um problema uma vez
que bem explicada.
Todos os passos executados devem ter um nível de detalhamento de forma que a equipe
técnica do cliente possa reproduzí-los e obter o mesmo resultado.
Verifique se a sua narrativa:
• Está clara, coeza, e supre o entendimento dos passos técnicos realizados;
• Segue o modo impessoal, terceira pessoa. Normalmente o relatório é um produto de
uma equipe, dê preferência sempre a escrita em terceira pessoa;
• Segue uma linha de raciocínio, que pode começar no levantamento de informações e
ser finalizada na obtenção da chave para pontuar.
GUIA DO RELATORIO DCPT V1.4 DESEC SECURITY
 
Exemplo de Narrativa:
Coleta de Informações
Durante a fase de coleta de informações identificamos que o domínio
www.businesscorp.com.br respondia para o endereço IP 37.59.174.225, no qual
resolvemos dar inicio mapeando as portas do mesmo.
O mapeamento foi realizado utilizando o utilitário Nmap, através do comando a seguir:
sudo nmap -v -sV -Pn 37.59.174.225 --open
GUIA DO RELATORIO DCPT V1.4 DESEC SECURITY
 
Anexos
Os anexos são parte fundamental para o bom entendimento do seu relatório, e fazem parte
da estrutura do mesmo.
Os anexos devem vir logo após a narrativa referente ao mesmo, garantindo um relatório
coezo.
Se atente ao fato dos anexos não serem opcionais, pois são parte fundamental do entregável
esperado.
Se o anexo for uma captura de tela contendo um comando, adicione o comando à sua
narrativa (em texto) de forma que fique fácil a equipe técnica copiar o comando e executá-lo,
sem que seja necessário digitá-lo.
Alguns exemplos de anexos são:
• Capturas de tela dos comandos executados e o que foi retornardo;
• URLs que indiquem vulnerabilidades identificadas;
• URLs que evidenciem a fonte de um exploit;
• URLs que evidenciem uma prova de conceito ou guia utilizado durante a exploração.
Exemplo de anexo: URL evidenciando a fonte de um exploit
CVE-2006-3392
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2006-3392
Exploit: https://www.exploit-db.com/exploits/2017
Exemplo de anexo: URL evidenciando painel de login identificado
http://mail.businesscorp.com.br/squirrelmail/src/login.php
Exemplo de anexo: URL evidenciando ponto vulnerável identificado
http://www.businesscorp.com.br/apiClients/
GUIA DO RELATORIO DCPT V1.4 DESEC SECURITY
 
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2006-3392
Exemplo de anexo: payload utilizado
PAYLOAD
data://text/plain,
Exemplo de anexo: captura de tela do comando e o retorno
Atenção:
Em casos de anexos de saídas de comandos, devemos nos atentar a alguns pontos
importantes:
• A captura de tela (printscreen) precisa estar nítida, evidenciando o comando utilizado
e o seu retorno por completo;
• O terminal precisa ser exibido por completo e assim como qualquer outro anexável,
precisa fazer sentido dentro do contexto narrativo do seu relatório. 
• Capturas de tela (printscreen) que contenham rasuras, alterações ou cortes indevidos
serão automaticamente desconsiderados, podendo resultar na reprovação do exame
como um todo.
GUIA DO RELATORIO DCPT V1.4 DESEC SECURITY
 
Chave Final
Lembre-se, toda narrativa construída por você possuem um único objetivo, chegar a chave
final.
A chave (key) é a comprovação final que o alvo foi comprometido pelo pentest.
A obtenção da chave (key) deve ser comprovada através de uma captura de tela
(printscreen) que atenda a todos os requisitos informados nos tópicos anteriores. A falta
dessa comprovação no relatório acarreta na imediata reprovação do aluno.
Exemplo de evidenciação da key:
GUIA DO RELATORIO DCPT V1.4 DESEC SECURITY
 
Finalização
Assim como você iniciou seu relatório seguindo uma estrutura e metodologia bem definidas,
finalize o mesmo da mesma forma.
É ideal que você apresente um resumo final contendo as informações, problemas e
recomendações que podem ser aplicadas a cada um dos projetos de forma independente.
Exemplo do resumo final(de um único projeto):
HOST WEBMIN - http://intranet.businesscorp.com.br:10000
Descrição A versão do webmin em produção no servidor possuí uma
vulnerabilidade crítica que contém exploit público disponível. 
Risco Crítico
Impacto A falha permite um atacante obter arquivos sensíveis no servidor e
posteriormente descobrir as credenciais de acessos do SSH.
Sistema http://intranet.businesscorp.com.br:10000
Referências https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2006-3392
Exploit: https://www.exploit-db.com/exploits/2017
Problemas 
1) Versão do software em produção desatualizada e vulnerável
2) Este host possui um controle contra portscan ineficiente, ou seja, mesmo com o
controle ativo é possível fazer uma varredura de portas e descobrir os serviços ativos. 
3) Politica de senha fraca pois a senha utilizada no hash do user (business) foi
descoberta por conta de fazer parte de wordlists conhecidas. 
Recomendações
1) Atualizar a versão do webmin para a mais recente no site do fabricante
2) Ajustar o controle contra portscan para bloquear acessos ao tentar se comunicar com
pelo menos 1 porta inválida
GUIA DO RELATORIO DCPT V1.4 DESEC SECURITY
 
3) Usar senhas fortes geradas por cofres de senhas
A organização do seu relatório pode dizer muito sobre você e a organização do seu trabalho! 
Boa sorte e bom exame ;)
GUIA DO RELATORIO DCPT V1.4 DESEC SECURITY