Série de videoaulas em quadro de luz sobre o OWASP Top 10 de 2021

94% dos aplicativos testados apresentaram algum tipo de falha no controle de acesso. Essas falhas podem resultar na divulgação, alteração ou destruição não autorizada de dados e na elevação de privilégios, além de levar à tomada de contas (ATO), ao vazamento de dados, a multas e a danos à reputação da marca.

Falhas criptográficas, anteriormente conhecidas como "Exposição de Dados Sensíveis", levam à exposição de dados confidenciais e ao sequestro de sessões de usuários. Apesar da ampla adoção do TLS 1.3, protocolos antigos e vulneráveis ainda continuam habilitados.

Injeção é uma ampla classe de vetores de ataque em que entradas não confiáveis alteram a execução do programa de um aplicativo. Isso pode levar ao roubo de dados, à perda da integridade dos dados, à negação de serviço e ao comprometimento total do sistema. A injeção não é mais o principal risco, mas ainda representa uma ameaça considerável.

A segurança precisa ser inerente às aplicações. Um design seguro ainda pode apresentar falhas de implementação que resultem em vulnerabilidades. Já um design inseguro não pode ser corrigido nem mesmo com uma implementação perfeita.

Configurações de segurança incorretas são uma das principais causas de violações na nuvem. Saiba o que fazer e o que evitar, já que o desenvolvimento moderno de aplicações, a reutilização de software e a expansão desordenada da arquitetura entre diferentes nuvens aumentam esse risco.

Explorações de vulnerabilidades em softwares de código aberto estão por trás de muitos dos maiores incidentes de segurança. A recente vulnerabilidade do Log4j2 talvez seja, até hoje, o risco mais grave dessa categoria.

É fundamental confirmar a identidade e usar mecanismos robustos de autenticação e gerenciamento de sessões para se proteger contra abusos da lógica de negócios. A maioria dos ataques de autenticação decorre do uso contínuo de senhas. Credenciais comprometidas, botnets e ferramentas sofisticadas proporcionam um retorno sobre o investimento atraente para ataques automatizados, como o preenchimento de credenciais.

Essa nova categoria de risco se concentra em pressupostos relacionados a atualizações de software, dados críticos e pipelines de CI/CD sem a devida verificação de integridade. O ataque à cadeia de suprimentos da SolarWinds foi um dos mais prejudiciais que já vimos.

Sem o registro e o monitoramento adequados das atividades do aplicativo, as violações não podem ser detectadas. A falta dessas medidas afeta diretamente a visibilidade, os alertas de incidentes e a análise forense. Quanto mais tempo um invasor permanecer sem ser detectado, maior será a probabilidade de o sistema ser comprometido.

Falhas de SSRF ocorrem quando uma aplicação web busca um recurso remoto sem validar a URL fornecida pelo usuário. Os invasores podem induzir a aplicação a enviar uma solicitação para um destino inesperado, mesmo que ele esteja protegido por firewall, VPN ou outra lista de controle de acesso à rede (ACL).