OWASP: Divulgação do Top 10 das Vulnerabilidades

Russ McRee, analista sênior da área de segurança, fez uma listagem com as 10 ameaças mais graves referentes à aplicações Web, além de correlacioná-las com as ferramentas mais relevantes de detecção e correção dessas falhas. No InfoSec Resources, há um artigo publicado em relação a essas vulnerabilidades, cuja introdução é a seguinte:

"Se você já passou algum tempo defendendo as aplicações web como analista de segurança, ou talvez como um desenvolvedor procurando aderir às práticas SDLC (Secure Software Development Lifecycle), você provavelmente já utilizou o OWASP Top 10. Destinado inicialmente como um mecanismo de sensibilização, o Top 10 engloba as mais críticas falhas de segurança em aplicações Web através da escolha consensual de um consórcio mundial de especialistas em segurança de aplicações."

O OWASP Top 10 promove o gerenciamento de riscos através de um programa voltado para aplicações, além de treinamento de conscientização, análise, testes e correções. No entanto, para gerenciar todo esse risco, todo analista de segurança ou desenvolvedor precisa de um kit de ferramentas apropriadas para tal finalidade.


O Top 10 das Ameaças Mais Críticas:


1. Injection:

Injection flaw, tais como SQL, sistemas operacionais e injeção LDAP, ocorrem quando os dados não confiáveis ​​é enviado a um intérprete, como parte de um comando ou consulta. O atacante pode enganar o interpretador que irá executar comandos mal intencionados, ou acessar dados não autorizados.

2. Cross-Site Scripting (XSS):

A vulnerabilidade XSS ocorre sempre que uma aplicação obtém as informações não confiáveis, ​​e envia para um navegador Web sem a devida validação. A falha XSS permite aos atacantes executarem scripts no navegador da vítima, que pode roubar sessões de usuário ou redirecionar o usuário para sites maliciosos.

3. Broken Authentication and Session Management (Quebra de Autenticação e Gerenciamento de Sessão)

Aplicação de funções relacionadas à autenticação e gerenciamento de sessão não são muitas vezes aplicadas corretamente, permitindo que atacantes comprometam senhas, chaves, tokens de sessão, ou explorem falhas de execução para assumir as identidades de outros usuários.

4. Insecure Direct Object References:

Quando um desenvolvedor expõe uma referência a um objeto de implementação interna, como um arquivo, diretório ou chave de banco de dados. Sem um mecanismo de controle de acesso ou outra proteção, os invasores podem manipular estas referências para acessar dados não autorizados.

5. Cross-Site Request Forgery (CSRF):

Esse tipo de ataque força o navegador logado da vítima, a enviar uma requisição para uma aplicação Web vulnerável, que realiza a ação desejada em nome da vítima.

6.Security Misconfiguration:

Boa segurança exige ter uma configuração segura definida e implementada para a aplicação, framework, servidor de aplicações, servidor Web, servidor de banco de dados e plataforma. Todos estes ajustes devem ser definidos, implementados e mantidos como muitos que não vêm com os padrões seguros. Isso inclui manter todo e qualquer software atualizados, incluindo todas as bibliotecas de código usado pelo aplicativo.

7.Insecure Cryptographic Storage:

Muitas aplicações Web não protegem adequadamente os dados sensíveis, tais como cartões de crédito, CPFs, e as credenciais de autenticação com criptografia apropriados ou hash. Os atacantes podem roubar ou modificar esses dados mal protegidos para realizar o roubo de identidade, fraudes com cartões de crédito, ou outros crimes.

8. Failure to Restrict URL Access (Falha de Restrição de Acesso à URL):

Os aplicativos precisam realizar testes de controle de acesso similar, cada vez que essas páginas forem acessadas, ou invasores serão capazes de criar URLs para acessar essas páginas escondidas, de qualquer maneira.

9. Insufficient Transport Layer Protection:

Aplicações freqüentemente falham em autenticar, criptografar e proteger a confidencialidade e integridade do tráfego da rede (dados sensíveis). Quando o fazem, por vezes, suportam algoritmos fracos, utilizando certificados expirados ou inválidos, ou não os utilizam corretamente.

10. Unvalidated Redirects and Forwards (Invalidar Redirecionamentos e Encaminhamentos):

Aplicativos da Web redirecionam e enviam com frequência, os usuários para outras páginas e sites. Sem a devida validação, os atacantes podem redirecionar vítimas a sites de phishing ou malware, ou encaminhá-las para acessar páginas não autorizadas.

No Infoserc Resources, é possível ler a publicação na íntegra, além dos testes realizados com os seus respectivos exemplos mencionados de forma detalhada.


Links de Interesse:

- InfoSec Resources