Cibersegurança: O que é OWASP Top Ten?
O OWASP Top 10 é uma lista dos 10 riscos de segurança de aplicativos da web mais comuns. Ao escrever código e executar testes robustos com esses riscos em mente, os desenvolvedores podem criar aplicativos seguros que mantêm os dados confidenciais de seus usuários protegidos contra invasores.
O que é OWASP?
OWASP, ou Open Web Application Security Project, é uma organização sem fins lucrativos focada em segurança de software. Seus projetos incluem uma série de programas e kits de ferramentas de desenvolvimento de software de código aberto, subdivisões regionais e conferências, entre outras coisas. Um de seus projetos é a manutenção do OWASP Top 10, uma lista dos 10 principais riscos de segurança enfrentados por aplicativos da web.
Atendendo à conformidade do OWASP para garantir código seguro
O OWASP Top 10 é um ótimo recurso fundamental quando você está desenvolvendo código seguro. No relatório State of Software Security 2024 da Veracode, uma análise de 759.445 aplicativos descobriu que quase 70% dos aplicativos tinham uma falha de segurança que se enquadrava no OWASP Top 10.
O OWASP Top 10 não é apenas uma lista. Ele avalia cada classe de falha usando a metodologia de classificação de risco OWASP e fornece diretrizes, exemplos, práticas recomendadas para prevenção de ataques e referências para cada risco. Ao aprender as falhas no gráfico OWASP Top 10 e como resolvê-las, os desenvolvedores de aplicativos podem tomar medidas concretas em direção a um aplicativo mais seguro que ajude a manter os usuários protegidos quando se trata de ataques maliciosos.
Um guia para o teste OWASP Top 10
O teste de vulnerabilidades OWASP é uma parte crucial do desenvolvimento seguro de aplicativos. O grande número de riscos e possíveis correções pode parecer assustador, mas é fácil de gerenciar se você seguir algumas etapas simples:
- Pense na segurança em seu processo de desenvolvimento, em vez de torná-la uma reflexão tardia
- Teste seu código em relação aos padrões de segurança repetidamente durante o desenvolvimento
- Use integrações de IDE e CI Pipeline para automatizar testes
- Identifique vulnerabilidades conhecidas em código de terceiros para garantir que seu programa não esteja firmado em dependências inseguras.
As 10 principais vulnerabilidades do OWASP
Então, quais são os 10 principais riscos de acordo com o OWASP? Separamos cada item, seu nível de risco, como testá-lo e como resolver cada um.
A01. Quebra de Controle de Acesso
Se a autenticação e a restrição de acesso não forem implementadas corretamente, é fácil para os invasores pegarem o que quiserem. Com falhas de quebra de controle de acesso, usuários não autenticados ou não autorizados podem ter acesso a arquivos e sistemas confidenciais, ou até mesmo configurações de privilégios de usuário.
O teste de penetração pode detectar autenticação ausente, mas não pode determinar as configurações incorretas que levam à exposição. Um dos benefícios do uso crescente de ferramentas de Infraestrutura como Código (IaC) é a capacidade de usar ferramentas de varredura para detectar erros de configuração que levam a falhas de controle de acesso.
Controles de acesso fracos e problemas com gerenciamento de credenciais em aplicativos podem ser prevenidos com práticas de codificação seguras, bem como medidas preventivas como bloqueio de contas e controles administrativos e uso de autenticação multifator.
A02: Falhas criptográficas
Erros comuns como uso de senhas codificadas, algoritmos criptográficos desatualizados ou chaves criptográficas fracas podem resultar na exposição de dados confidenciais (o nome anterior para esta categoria).
Varredura de imagens para segredos codificados e garantia de que os dados sejam criptografados adequadamente em repouso e em trânsito podem ajudar a mitigar a exposição de dados confidenciais a invasores.
A03: Injeção
Ataques de injeção ocorrem quando invasores exploram vulnerabilidades em aplicativos da web que aceitam dados não confiáveis. Os tipos comuns incluem injeção de SQL e injeção de comando do sistema operacional. Esta categoria agora também inclui Cross Site Scripting (XSS). Ao inserir código malicioso em campos de entrada, os invasores podem executar comandos não autorizados, acessar bancos de dados confidenciais e potencialmente obter controle sobre os sistemas.
Os testes de segurança de aplicativos podem revelar falhas de injeção e sugerir técnicas de correção, como remover caracteres especiais da entrada do usuário ou escrever consultas parametrizadas SQL.
Confira também: Cibersegurança: O que é o Mitre Att&ck framework?
A04: Design inseguro
Design inseguro é uma nova categoria no OWASP Top Ten de 2021 que se concentra em falhas fundamentais de design e controles ineficazes, em oposição a implementações fracas ou falhas.
A criação de designs seguros e ciclos de vida de desenvolvimento de software seguros requer uma combinação de cultura, metodologias e ferramentas. Treinamento de desenvolvedores, modelagem robusta de ameaças e uma biblioteca organizacional de padrões de design seguros devem ser implementados para reduzir os riscos de designs inseguros criarem vulnerabilidades críticas.
A05: Configuração incorreta de segurança
Servidores de aplicativos, estruturas e infraestrutura de nuvem são altamente configuráveis, e configurações incorretas de segurança, como permissões muito amplas, valores padrão inseguros deixados inalterados ou mensagens de erro muito reveladoras, podem fornecer aos invasores caminhos fáceis para comprometer aplicativos.
O Veracode State of Software Security de 2024 relatou que erros de configuração incorreta foram relatados em 70% ou mais aplicativos que introduziram uma nova vulnerabilidade no ano passado.
Para reduzir os riscos de configuração incorreta, as organizações devem rotineiramente reforçar as configurações de infraestrutura e aplicativos implantados e devem escanear toda a infraestrutura como componentes de código como parte de um ciclo de vida de desenvolvimento de sistemas seguro.
A06: Componentes Vulneráveis e Desatualizados
Aplicativos modernos são criados usando um grande número de bibliotecas de terceiros (que são dependentes de outras bibliotecas) e frequentemente são executados em estruturas de código aberto. Em um aplicativo moderno, pode haver ordens de magnitude a mais de código de bibliotecas e componentes do que escrito pelos desenvolvedores de uma organização.
Como seria de se esperar com qualquer software, vulnerabilidades em bibliotecas e componentes serão rotineiramente descobertas, corrigidas e novas versões lançadas. Os desafios de identificar todos os componentes em uso, manter o controle de seu status de vulnerabilidade e reconstruir e testar rotineiramente o software implantado são essenciais e onerosos. Talvez seja por isso que tantas organizações ainda estão executando software vulnerável em produção.
Uma etapa crítica de mitigação é criar uma Lista de Materiais de Software (SBoM) para todo o software implantado ou fornecido aos clientes.
A07 Falhas de Identificação e Autenticação
Identificar usuários e clientes não humanos é uma prática de segurança fundamental. Nem é preciso dizer que fraquezas na forma como um aplicativo permite acesso ou identifica usuários são uma vulnerabilidade crítica.
Embora a mitigação comece com práticas de codificação seguras, ferramentas para detectar e prevenir ataques de força bruta e preenchimento de credenciais também são proteções úteis.
Confira também: O que é o OSINT framework? Como você pode usá-lo?
A08: Falhas de Software e Integridade de Dados
As ferramentas usadas para construir, gerenciar ou implantar software são vetores de ataque cada vez mais comuns. Um pipeline CI/CD que rotineiramente constrói, testa e implanta software também pode ser usado para injetar código malicioso (ou bibliotecas), criar implantações inseguras ou roubar segredos.
Conforme discutido acima em ‘Componentes Vulneráveis e Desatualizados’, os aplicativos modernos usam muitos componentes de terceiros, geralmente os extraindo de repositórios de terceiros.
As organizações podem mitigar essa ameaça garantindo a segurança do processo de construção e os componentes extraídos para a construção. Adicionar etapas de varredura de código e análise de componentes de software em um pipeline de construção de software pode identificar código ou bibliotecas maliciosas.
A09: Falhas de registro e monitoramento de segurança
Ter registro e monitoramento adequados em vigor é essencial tanto para detectar uma violação precocemente, com sorte limitando os danos, quanto na perícia de incidentes para estabelecer o escopo da violação e determinar o método de comprometimento.
Simplesmente gerar os dados é obviamente insuficiente, as organizações devem ter processos adequados de coleta, armazenamento, alerta e escalonamento. As organizações também devem verificar se esses processos estão funcionando corretamente – usar ferramentas de teste de segurança de aplicativo dinâmico (DAST), por exemplo, deve produzir eventos significativos de registro e alerta.
A10: Falsificação de solicitação do lado do servidor (SSRF)
Aplicativos da web modernos geralmente buscam conteúdo ou dados adicionais de um recurso remoto. Se um invasor puder influenciar o recurso de destino e o aplicativo não validar a URL fornecida, uma solicitação elaborada poderá ser enviada a um destino alvo.
A mitigação de ataques SSRF é feita usando métodos familiares, como higienização de entrada do usuário, uso de listas de permissão explícitas e inspeção de respostas de solicitações antes que elas sejam retornadas aos clientes.
Confira também: 10 Tipos de Ataques em Aplicações API
Inscreva-se no Curso Desenvolvimento Seguro de Software DevSecOps na Prática
Para aprofundar ainda mais seu conhecimento e garantir que suas habilidades estejam atualizadas com as melhores práticas de segurança de software, inscreva-se no curso Desenvolvimento Seguro de Software DevSecOps na Prática da IBSEC. Aprenda a integrar segurança em todas as etapas do desenvolvimento de software, desde o planejamento até a implementação e manutenção, utilizando as mais recentes metodologias e ferramentas DevSecOps. Garanta a segurança de seus aplicativos e proteja os dados dos usuários com confiança. Inscreva-se agora e leve sua carreira de desenvolvedor para o próximo nível com a IBSEC!
