Como começar a aprender sobre segurança da informação

O que é Penetration Testing \ Teste de resiliência e segurança da informação?

Penetration Testing Em português, teste de resiliência, ou PT que são siglas para Penetration Test, é um processo complexo executado por um hacker para verificar se os aplicativos e serviços da empresa são vulneráveis a falhas de segurança..

O teste de resiliência responde a uma pergunta simples: "Um hacker malicioso pode danificar os aplicativos, sites ou infraestrutura da empresa e explorar falhas de segurança para causar danos?"

O teste de resiliência é um processo muito importante para organizações no Brasil e em todo o mundo e é realizado por um hacker habilidoso que usa os mesmos métodos e ferramentas que o hacker malicioso usará..

A empresa pode solicitar uma variedade de testes de resiliência para que o hacker seja proficiente em uma ampla gama de áreas, como:

• Teste de resiliência para aplicativos da web (Sites e sistemas da internet) da empresa.
• Teste de resiliência para aplicativos desenvolvidos pela empresa tanto para Android e para-iOS.
• Testando a resiliência da infraestrutura da empresa no nível da rede.

Devido ao amplo conhecimento necessário para realizar um teste de resiliência e à falta de um programa de treinamento organizado, há uma grande escassez de testadores de resiliência no Brasil e ao redor do mundo..

Este artigo é de autoria de Roman Zaikin, e neste artigo Roman mostrará por experiência própria como ele recomenda que você se aproxime do cobiçado campo do hacking – Testes de resiliência (Penetration Testing ).

Roman Zaikin É especialista em segurança da informação e cibernética da empresa Check Point e tem mais de 10 anos de experiência no campo cibernético.

Roman revelou junto com outros especialistas de cibersegurança: Eran Vaknin, Dikla Barda e Oded Vanunu têm muitas violações de segurança em empresas conhecidas e influentes na economia global, como: Facebook, WhatsApp, Telegram, Skype, eBay, AliExpress, LG, Microsoft E mais...

Autor do livro "O mundo da segurança da informação e hacking" E a série de livros "Testes de cibersegurança e de resiliência".

Palestrante em conferências internacionais entre eles Black Hat (A conferência cibernética mais famosa de Las Vegas):

Tem ampla experiência de ensino, treinou mais de 1000 graduados em várias áreas de segurança da informação e ajudou dezenas de alunos a encontrar trabalho na área.

Abaixo está uma lista de vários estudos que Roman realizou

• Manipulação e falsificação de mensagens no chat do Facebook-Yediot Acharonot
• Aquisição do aspirador de pó LG - Artigo em-Ynet
• Aquisição de drones do DJI - Artigo no-Globs
• Aquisição de contas do WhatsApp e Telegram - Artigo no-Mako
• Mensagens falsas no WhatsApp - Artigo no-Forbs
• Injeção de código e manipulação de lojas no eBay - artigo em-calcalist
• Injeção de código AliExpress - Artigo em-Ynet
• Uma das soluções para o desafio do Mossad em 2018 - artigo b-Maariv

Neste artigo, vamos lidar com as seguintes questões:

• Você precisa de um diploma para trabalhar em alta tecnologia? E você precisava de um diploma de bacharel na área??
• Como começar a aprender sobre segurança da informação? Como faço para começar a aprender ciber? Cursos de cibersegurança para iniciantes!
• Um curso de segurança da informação na faculdade? Um curso online de segurança da informação? Livros em segurança da informação? Ou estudar sozinho?
• É necessária experiência em segurança da informação para ser aceito para um primeiro emprego?
• Quanto tempo leva para aprender sobre segurança da informação e vale a pena estudar segurança da informação?

Você precisa de um diploma para trabalhar em alta tecnologia? E você precisava de um diploma de bacharel na área??

Nos últimos anos, vejo mais e mais faculdades entrando no cobiçado campo – E oferecer um curso cibernético ou um curso de segurança da informação e garantir a você uma carreira e trabalho na área. Como alguém que escreveu inúmeros currículos, tais como - curso de Cyber, curso de segurança da informação e curso de Hacking. Ensinou ambos na academia (Tel Aviv Jaffa) E nos cursos profissionalizantes (HackerU-Cysource) Quero colocar as coisas em ordem para você e responder a todas as perguntas que encontro todos os dias.

Vamos começar com a pergunta – "Preciso de um diploma para trabalhar em alta tecnologia? E você precisa de um diploma universitário em cyber?"

Da experiência da maioria das pessoas envolvidas no campo de teste de penetração ou pesquisa ( Research ) Eles não têm um bacharelado, hoje para serem admitidos no Teste de Penetração, não há necessidade de um bacharelado em ciência da computação ou engenharia de software..

Na minha opinião, a segurança da informação é um campo para autodidatas, pessoas que aprenderam os tópicos complexos por conta própria, mas o problema surge quando a mesma pessoa que quer aprender é inundada com muito conteúdo e não consegue encontrar o caminho certo para aprender e desenvolver, então decidi criar o Cysource..

Nas áreas de hacking, é melhor resolver desafios de cibersegurança e desenvolver pensamento criativo por meio de desafios interessantes e complicados, veja os desafios do Google que resolvi, os desafios OWASP e os desafios do Mossad..

Um diploma de bacharel é mais adequado nas áreas de desenvolvimento e menos nas áreas de hacking, o diploma vai te ensinar matemática e outros tópicos que você não precisa em seu trabalho diário na área de segurança da informação e seu pensamento criativo se desenvolverá mais na resolução de desafios de hacking.

E a matemática? Eu, pessoalmente, gosto muito de matemática e algoritmos, mas você pode contar com uma mão quantas vezes usei esse conhecimento durante uma pesquisa ou teste de resiliência que fiz.

E o desenvolvimento? Como vou aprender a programar senão um diploma? Você também pode aprender desenvolvimento de forma independente por meio de livros, artigos, vídeos e cursos online facilmente e eu recomendo começar com a linguagem Python.

Concluindo, se você possui um diploma de bacharel, excelente é uma vantagem! Se você não tem? Não é obrigatório e não é a única forma de entrar no ramo.

De acordo com calcalits E de acordo com mako Muitos empregadores irão preferir conhecimento e olhar menos para os certificados.

Como começar a aprender sobre segurança da informação? Ou como começo a aprender Cyber? Cursos de cibersegurança para iniciantes!

Na minha experiência, existem várias maneiras de entrar no campo dos testes de penetração, primeiro detalharei os tópicos com os quais devemos nos familiarizar e depois escreverei a rota mais recomendada.

Python

A linguagem de programação Python é uma das linguagens mais úteis em todos os campos em geral e na segurança da informação em específico. A linguagem é recomendado para iniciantes porque é muito fácil aprender ela em relação a outros idiomas como C ou c++.

Usando a linguagem você pode desenvolver ferramentas de segurança da informação que irão escanear a rede ou atacá-la, existem muitas e muito úteis ferramentas na área escritas em Python e o conhecimento em Python irá ajudá-lo a adaptá-las às suas necessidades e atualizá-las de acordo com seu vetor de ataque.

Também com Python você pode enviar pacotes de informações para sites, construir software com uma interface de usuário, desenvolver ferramentas de análise e digitalização e simplesmente construir qualquer coisa.

Você pode aprender o idioma por conta própria em várias fontes, como livros da área, vídeos no YouTube ou inscrever-se em nosso curso de Python.

Trata-se de um curso online de Python em portugues para iniciantes no mundo da programação. Para mais informações, clique aqui.

Web Penetration Testing

Web penetration testing É hackear sites, neste tópico você aprenderá a desenvolver sites, entender o que é um lado do servidor, o que é um lado do cliente, entender como funciona a comunicação entre o site e o servidor e como você pode atacar o site e hackea-lo para detectar e relatar falhas de segurança.

Recomendo aprender o tema usando livros organizados porque é muito fácil se perder! E aprenda tópicos irrelevantes durante o caminho para o sucesso.

Portanto, um bom livro sobre o assunto na Amazon em inglês ou o livro (Teste cibernético e de resiliência para aplicativos da web) Em breve em português, esta é a maneira de estudar o assunto de uma maneira boa e abrangente.

Aqueles que procuram um curso organizado em português que contenha todos os tópicos estão convidados a se inscrever em nosso curso de hacking online. Para mais informações, clique aqui.

Mobile Penetration Testing

Mobile Penetration Testing É hackear aplicativos, neste tópico você aprenderá qual é a diferença entre os diferentes aplicativos, Native, Hybrid, Web app.

Você aprenderá a construir aplicativos, entender a arquitetura do sistema operacional e a hackear aplicativos para detectar e relatar falhas de segurança.

Este assunto também é recomendado para estudar através de livros da área.Se você estiver interessado em um curso online organizado em português, você está convidado a se inscrever no nosso curso.. Para mais informações, clique aqui.

Infrastructure Penetration Testing

Infrastructure Penetration Testing Trata-se de hackear redes de computadores e organizações.

Nesta disciplina você aprenderá Linux, você aprenderá comunicação de dados em uma rede de computadores, você aprenderá protocolos como SSH, FTP, Telnet, DNS, DHCP etc.'...

Entenda como funcionam os pacotes de informações na organização e você aprenderá como invadir uma rede corporativa e o que é uma rede no nível de bits e casas.

A melhor maneira de aprender o assunto é primeiro aprender a comunicação de dados, pode-se aprender o assunto através dos livros– O mundo da segurança da informação e hacking, em seguida, leia o livro Cyber and Resilience Tests for Enterprise Infrastructures.

Além disso, é possível estudar o assunto por meio de certificação CCNA (Na minha opinião, na certificação você aprende mais do que realmente precisa e isso pode te desperdiçar algum tempo, no entanto, o conhecimento profundo das redes de comunicação necessárias e dos equipamentos CISCO é um equipamento comum no mundo das redes corporativas, então a certificação é relevante para o seu conhecimento).

Você aprenderá Linux, poderá aprender Linux por meio de vídeos no YouTube ou udemy. Na minha opinião, é recomendável procurar o conteúdo da certificação LPI 1-2, essas certificações organizaram todo o material para você de uma maneira excelente e cobrem o que você precisa saber sobre o Linux para que você possa se familiarizar facilmente com o sistema operacional e as redes baseadas em Linux..

Você aprenderá a Microsoft, poderá aprender o assunto por meio de vídeos no YouTube ou no udemy. Procure o conteúdo da certificação MCSA porque contém todo o conteúdo que você precisa saber em uma rede de organizações para tornar mais fácil para você contornar o ambiente de domínio e entrar nos serviços. Microsoft.

Depois de conhecer todos os problemas, você terá um conhecimento profundo das redes e saberá como atacar a rede do ponto de vista do profissional de TI e do ponto de vista do invasor..

Reverse Engineering and Exploitation

Este é um assunto relativamente complicado para iniciantes e é recomendado abordá-lo somente depois de se envolver no campo de teste de penetração por pelo menos meio ano. Nesta área, você aprenderá a localizar e explorar falhas de segurança no software. Neste tópico você pode encontrar um zero day que lhe permitirá invadir um computador atravéz de um método desconhecido.

Para ter sucesso no assunto você deve aprender a linguagem de programação C e então aprender Assembly.

Depois de aprender as linguagens e ser capaz de escrever software, tente desenvolver um desafio simples e resolvê-lo sozinho..

Abaixo está uma lista de desafios que os alunos do meu curso desenvolveram, tente resolvê-los e crie um desafio você mesmo. Se você está interessado nas soluções para os desafios, me mande um email e eu te enviarei a solução.

Depois de desenvolver desafios e costurá-los usando python e-gdb (debugger) Recomendo que você passe para a exploração, uma área que trata da utilização de problemas de memória em software. A melhor maneira de começar no campo é resolver os desafios do site de exercícios de exploração e assistir aos vídeos de soluções de liveoverflow.

Para escolher a melhor rota para você, você deve responder às seguintes perguntas:

Você ama e conecta-se ao desenvolvimento de software?

• Python
• Web Hacking
• Mobile Hacking
• Linux
• Infrastructure Hacking
• Reverse and Exploitation

Você tentou desenvolver e não se conectou? (Pelo menos por agora)

• Linux
• Infrastructure Hacking
• Web Hacking
• Python
• Mobile Hacking

Você ainda não tentou desenvolver e não sabe se gosta?

• Web Hacking
• Python
• Mobile Hacking
• Linux
• Infrastructure Hacking

Curso de segurança da faculdade? Um curso online de segurança da informação? Livros em segurança da informação? Ou estude segurança da informação por conta própria?

Hoje, existem muitos cursos profissionais no Brasil que ensinam um curso de segurança, cada uma deu ao curso um nome diferente, mas na verdade, após o exame, é o mesmo curso com mínimas alterações :

• Curso de Segurança Cibernética e de Informação Hacker Ético (hackeru)
• Curso de guerra cibernética e segurança da informação c' (johnbryce)
• Curso de segurança da informação no Technion
• Curso de Segurança da Informação na Sei Security (see security)
• Carnival Defense Cyber Course (kernelios)
• Curso de Segurança da Informação do Sela College (sela)
• E mais...

O campo de segurança da informação e testes de penetração é um campo muito procurado, e a quantidade de conhecimento necessária para ser aceito para o cargo é grande. Portanto, aprender o campo sozinho sem direcionamento profissional pode levar muito tempo e aqui entra os cursos online ou livros.

Pessoalmente gosto de estudar em livros, um livro é um resumo do conhecimento acumulado ao longo dos anos por especialistas na área. No livro, você encontrará todos os tópicos que precisa saber de maneira ordenada com exercícios e até laboratórios.

O custo de um livro é de cerca de R$ 70 e é uma ótima maneira de entender se o campo é de seu interesse e se você se conecta ao assunto sem pagar R$ 20.000 para a faculdade e então entende que o campo não é para você..

Existem muitos livros na área na Amazon também, mas a maioria dos bons livros são escritos em inglês, quando comecei a aprender como uma criança todo o material era em inglês e era difícil encontrar boas informações em portugues sobre o assunto, por isso foi importante para mim tornar o mundo do hacking acessível Entre no campo ou melhore seus conhecimentos na área de segurança da informação cibernética e testes de resiliência.

Se você gosta de aprender com os cursos organizados, gravamos cursos online especialmente abrangentes que incluem uma sala de aula virtual e a preços acessíveis..

Se você chegou até aqui e entende que este campo é para você, mas quer uma estrutura e uma sala de aula, aqui as várias faculdades entram em cena. Um curso em uma faculdade no Brasil custará entre R$ 15.000 – 25,000 Reais.

Na hora de escolher uma faculdade é muito importante ler sobre o palestrante que vai te ensinar, verifique se é uma pessoa com experiência na área ou um aluno que já concluiu o curso um ciclo antes de você.

É necessária experiência em segurança da informação para ser aceito para um primeiro emprego?

Embora ostensivamente no Facebook e em sites de empregos, pode-se perceber que as empresas procuram pessoas com experiência, na verdade, se você tiver o conhecimento necessário para ser aceito, elas não o desqualificarão por falta de experiência.

Além disso, muitas empresas, a fim de filtrar funcionários em potencial, darão a você um desafio a ser executado, o desafio geralmente lidará com alguma área de hacking ou mesmo incluirá várias áreas e, além disso, você será solicitado a escrever um relatório de teste de resiliência sobre suas descobertas em cada empresa. É por isso que decidi ensiná-lo a escrever um relatório de teste de resiliência No meu curso de segurança da informação e até mesmo você é solicitado a enviar relatórios para mim durante o próprio curso.

Depois de ter resolvido o desafio, você passará para a entrevista técnica e assim que eles virem que você realmente entende a área, mesmo que sua última ocupação não seja na área de tecnologia. Mesmo assim, eles irão aceitá-lo e dar-lhe as ferramentas para ter sucesso.

Em algumas situações, você vai até entrar com um mês de certificação dentro da empresa e vai pagar o conhecimento que falta nas informações e se provar nas áreas que a empresa atende..

Portanto, é aconselhável dominar as seguintes áreas antes de enviar um currículo para empregos:

• Teste de resiliência para aplicativos da web – Web Penetration Testing
• Testes de resiliência para infraestruturas organizacionais – Infrastructure Penetration Testing
• Testes de resiliência móvel – Mobile Penetration Testing

Quanto tempo leva para aprender sobre segurança da informação e vale a pena estudar segurança da informação?

Sempre digo aos meus alunos e a qualquer pessoa que me pergunte sobre a área para lembrar da seguinte frase – "Se fosse fácil, o ramo de cyber não estaria com alta demanda".

Aprender segurança da informação e testes de resiliência não é simples, o campo é complexo e requer amplo conhecimento em muitos campos simultaneamente. O tempo que você levará para dominar o campo depende inteiramente de você. Se você investe horas todos os dias, invista e sinta que nesse campo você poderá estudar todas as disciplinas em um ano mais ou menos e ser aceito para o cargo de testador de resiliência – Penetration Testing.

Depois de ser aceito, você continuará a aprender que ficará melhor e, assim, atingirá níveis mais altos de hacking.

Em minha opinião, vale a pena estudar a área como um hobby ou como uma profissão para toda a vida, para lidar com a segurança da informação particularmente satisfatória e a área se torna seu modo de vida e não apenas uma profissão..

Você vai pensar em maneiras originais de resolver as coisas, vai tentar pensar diferente, vai realizar testes de resiliência para grandes empresas e vai chegar a lugares que nunca sonhou..

Um dos projetos interessantes que empreendi foi voar para um país estrangeiro e realizar um teste de resiliência em um ISP e tentar assumir o provedor. Conseguimos um roteador doméstico como qualquer outro cliente e a partir daí começamos. No final do processo, nos encontramos profundamente dentro da rede de fornecedores e assumimos os servidores deles.

Apresentamos o relatório para a gerência e a sensação era igualzinha aos filmes que você vê na TV, a diferença é que é real para tudo e é a sua profissão.