Ameaças automatizadas da OWASP a aplicações web

Ameaças automatizadas são ataques maliciosos realizados por bots, scripts ou kits de ferramentas de hackers, em vez de pessoas interagindo manualmente com a aplicação web. Essas ameaças podem explorar vulnerabilidades inerentes a aplicações web e APIs, causando violações de segurança, roubo de dados, invasão de contas, fraudes e outras consequências prejudiciais.

O objetivo do OWASP (Projeto Aberto de Segurança de Aplicações Web) Projeto de Ameaças Automatizadas a Aplicações Web é proporcionar uma compreensão abrangente e padronizada das diversas ameaças automatizadas que as aplicações web enfrentam com frequência. Esses ataques automatizados têm como alvo, cada vez mais, aplicativos móveis e APIs. O projeto reúne pesquisas e análises de ataques automatizados reais contra aplicações web para produzir documentação que ajude os operadores a se defenderem dessas ameaças.

O que são ameaças automatizadas?

Ameaças automatizadas referem-se a ataques maliciosos realizados por bots, scripts ou kits de ferramentas de hackers, em vez de seres humanos interagindo manualmente com a aplicação web. Essas ameaças podem explorar vulnerabilidades inerentes a aplicações web e APIs, resultando em violações de segurança, roubo de dados, invasão de contas, fraudes e outras consequências prejudiciais.

Embora ter um carrinho de compras em seu aplicativo não seja uma vulnerabilidade, a lógica de negócios que permite adicionar itens ao carrinho também pode ser alvo de automações e manipulada por elas, resultando em retenção de estoque.

O projeto criou um catálogo ou uma taxonomia das diferentes ameaças automatizadas direcionadas a aplicações web. Ao identificar e categorizar essas ameaças, desenvolvedores, profissionais de segurança e organizações podem compreender melhor os riscos que enfrentam e o possível impacto em seus sistemas. Para cada ameaça automatizada, o projeto também recomenda contramedidas eficazes e práticas recomendadas para mitigar os riscos. Ao conscientizar sobre essas ameaças, a OWASP busca incentivar medidas de segurança proativas e melhorar a postura geral de segurança das aplicações web.

Como muitas ameaças automatizadas dependem de bots, é importante distinguir entre o gerenciamento e a mitigação de bots. Gerenciamento de bots refere-se às estratégias e práticas usadas para lidar com bots que interagem com aplicações web. O objetivo do gerenciamento de bots não é apenas bloquear ou mitigar bots, mas também diferenciar o tráfego de bots legítimos (por exemplo, rastreadores de mecanismos de busca) do tráfego de bots mal-intencionados. Mitigação de bots concentra-se especificamente no processo de reduzir ou eliminar o impacto de bots mal-intencionados em aplicações web. Isso envolve a implementação de medidas defensivas para impedir que bots realizem com sucesso ações prejudiciais ou ataques que possam levar à tomada de contas (ATO) e a fraudes.

A lista da OWASP de ameaças automatizadas a aplicações web

Confira a lista de ameaças automatizadas identificadas e compiladas pelo projeto OWASP Automated Threats to Web Applications.

1. Agregação de contas. O objetivo desses ataques é coletar credenciais de contas de usuários em vários sites ou plataformas, geralmente para fins maliciosos, como roubo de identidade, fraude financeira ou acesso não autorizado a informações confidenciais. Os ataques de agregação de contas são realizados por bots ou scripts automatizados que imitam interações humanas com diversos serviços ou aplicativos web.
   
2. Criação de contas. Esses ataques envolvem agentes mal-intencionados que usam scripts automatizados ou bots para criar um grande número de contas de usuário falsas em uma plataforma ou site. Os invasores podem usar essas contas falsas para inundar a plataforma com spam, anúncios ou links maliciosos, causando transtornos e incômodo aos usuários legítimos. As contas falsas também podem ser usadas para manipular a opinião pública e as avaliações/classificações em um site ou aplicativo, ou para se passar por usuários reais ou figuras públicas a fim de disseminar desinformação ou causar danos à reputação. Essa ameaça também pode resultar em fraude na abertura de novas contas, também conhecida como fraude de primeira parte, e tem repercussões em todo o mundo digital.
3. Fraude publicitária. Também conhecida como fraude de cliques, essa ameaça envolve atividades enganosas destinadas a falsificar o número de interações com anúncios online, como cliques ou impressões. Essas ações fraudulentas geralmente são realizadas por bots ou scripts automatizados e têm como objetivo gerar receita para os fraudadores ou manipular as métricas de desempenho dos anúncios.
4. Quebra de CAPTCHA. Essa ameaça usa técnicas automatizadas para contornar ou burlar desafios CAPTCHA e é uma preocupação significativa para a segurança de aplicações web, pois permite que agentes mal-intencionados contornem uma defesa comum contra bots. CAPTCHA (Teste de Turing Público Completamente Automatizado para Diferenciar Computadores de Humanos) é um controle de segurança usado para distinguir usuários humanos de bots ou scripts automatizados. Os invasores podem usar softwares de reconhecimento de imagem para resolver CAPTCHAs visuais e empregar algoritmos de aprendizado de máquina para resolver CAPTCHAs de áudio e de quebra-cabeça. Em alguns casos, os invasores recorrem a solucionadores humanos de CAPTCHA que resolvem CAPTCHAs manualmente em tempo real. Embora seja um controle de segurança amplamente utilizado, o CAPTCHA pode ser burlado e cria atrito na experiência de clientes legítimos, o que pode levar ao abandono de transações e à perda de receita.
5. Descoberta de dados de cartões. Esse é um tipo automatizado de crime cibernético que envolve adivinhar ou descobrir os recursos de segurança de um cartão de pagamento, como o número do cartão, a data de validade e o código de segurança (CVV/CVC). A descoberta de dados de cartões geralmente emprega ataques de força bruta, nos quais bots ou scripts automatizados testam sistematicamente inúmeras combinações de dados de cartões até encontrarem uma que corresponda a um cartão válido. Depois que os dados válidos de um cartão são identificados, eles podem ser usados em diversas atividades ilegais, como fazer compras não autorizadas ou cometer fraudes financeiras. O invasor pode pegar alguns cartões-presente físicos sem saldo em uma loja física para verificar se o emissor dos cartões-presente utiliza padrões de numeração sequencial.
6. Carding. Essa forma de crime cibernético automatizado envolve o uso não autorizado de dados roubados de cartões de pagamento para realizar transações ou compras fraudulentas. Os criminosos usam bots ou scripts automatizados para testar os dados roubados de cartões de crédito ou débito em diversos sites ou aplicativos e identificar aqueles que aceitam essas informações. Depois que os bots automatizados identificam alvos vulneráveis, eles usam os dados roubados dos cartões para fazer compras fraudulentas, geralmente de produtos de alto valor ou serviços digitais, ou transferem o saldo disponível para outras contas.
7. Conversão em dinheiro. Refere-se à conversão de ativos ilíquidos ou moedas virtuais em dinheiro real ou bens tangíveis. Essa ameaça geralmente ocorre após ataques bem-sucedidos que resultam no roubo de ativos valiosos de plataformas ou contas online. Quando os invasores assumem o controle de contas de usuários em aplicações web ou plataformas online, eles podem usar essas contas para converter em dinheiro os ativos do titular, como cartões-presente, pontos de fidelidade ou moedas virtuais. Bots são frequentemente usados para facilitar essa conversão, pois permitem que os cibercriminosos realizem essas atividades fraudulentas em grande escala e com eficiência.
8. Quebra de credenciais. Essa ameaça é um tipo de ataque de força bruta direcionado aos mecanismos de login de aplicações web, como páginas de login, portais de contas de usuário ou APIs de autenticação. O invasor usa automação para testar sistematicamente combinações comuns de nomes de usuário e senhas até encontrar uma que funcione e permita o acesso não autorizado a contas de usuários. Isso permite que o invasor realize atividades maliciosas, como roubo de identidade, fraude financeira ou outras ações não autorizadas.
9. Preenchimento de credenciais. Uma das formas mais comuns de ameaça a aplicações web, o preenchimento de credenciais ocorre quando cibercriminosos obtêm listas de pares de nome de usuário e senha, muitas vezes compradas na dark web, e tentam usar essas credenciais para acessar outras contas protegidas por login. Como muitas pessoas reutilizam nomes de usuário e senhas, esses ataques (também chamados de sequestro de conta) podem ser extremamente eficazes, permitindo que criminosos assumam o controle de contas de usuários para roubar ativos ou cometer fraudes contra terceiros.
10. Indisponibilização de estoque. Esse ataque ocorre quando invasores retiram produtos de e-commerce de circulação usando bots para adicionar grandes quantidades de itens a um carrinho de compras, sem prosseguir para finalizar a compra. Essa situação impede que outros clientes comprem os produtos, pois o sistema registra que eles estão esgotados, e também impede que o vendedor concretize a venda, já que a compra nunca é concluída. Uma variação dessa ameaça automatizada ocorre quando bots são usados para fazer reservas ou bloquear quartos de hotel, mesas de restaurante ou assentos em voos sem concluir o pagamento.
11. Negação de serviço (DoS) e Negação de serviço distribuída (DDoS). Esses ataques são tentativas mal-intencionadas de interromper o funcionamento normal de um sistema ou uma rede de destino, tornando-os indisponíveis para usuários legítimos. Em um ataque DDoS, o invasor sobrecarrega o alvo com um volume enorme de tráfego ou solicitações de recursos, causando sobrecarga nos servidores e tornando o serviço inacessível. Esses ataques podem ser realizados por meio de vários métodos, como inundar o alvo com pacotes ou enviar solicitações especialmente elaboradas. Os ataques DoS e DDoS são semelhantes, mas, no caso do DDoS, o ataque envolve várias fontes, geralmente coordenadas por meio de botnets, que são redes de computadores ou dispositivos comprometidos sob o controle do invasor. O invasor coordena essas várias fontes para lançar simultaneamente o ataque contra o alvo. Ao aproveitar os recursos combinados da botnet, o invasor pode gerar uma enorme quantidade de tráfego ou solicitações, excedendo a capacidade do sistema de destino e causando uma negação de serviço. Esses ataques podem sobrecarregar as tabelas de estado do firewall, os recursos da CPU e a largura de banda da infraestrutura. Um ataque DoS pode ser executado com uma única solicitação cuidadosamente elaborada para uma aplicação web, por exemplo, uma consulta SQL complexa que resulte em alto uso da CPU e degradação do desempenho.
12. Aceleração. Essa ameaça envolve o uso de bots ou scripts automatizados para concluir rapidamente uma série de processos de uma aplicação, contornando as restrições ou verificações normalmente aplicadas. Ao automatizar processos, invasores ou usuários mal-intencionados podem obter uma vantagem injusta sobre outros usuários legítimos. Essa atividade costuma estar associada a práticas fraudulentas e pode causar prejuízos a terceiros.
13. Impressão digital. Os agentes de ameaças usam a impressão digital como uma técnica de coleta de informações para reunir e analisar características ou atributos exclusivos do navegador da Web ou do dispositivo de um usuário, a fim de criar uma “impressão digital” distinta. Isso permite que os agentes de ameaças identifiquem e rastreiem usuários individuais em diferentes sites e plataformas on-line, ou criem um perfil de um aplicativo para posteriormente atacá-lo.
14. Mapeamento. Essa não é uma ameaça automatizada por si só, mas sim uma fase preliminar de um processo de invasão ou reconhecimento. O mapeamento envolve o uso de bots ou scripts para coletar informações sobre a composição, a configuração e os mecanismos de segurança de uma aplicação web alvo, permitindo que os invasores planejem melhor ataques subsequentes, como executar exploits direcionados para obter acesso não autorizado ou explorar vulnerabilidades específicas.
15. Cambismo ou retenção de estoque. Essa é uma forma de automação de compras na qual os invasores usam bots para adquirir grandes quantidades de produtos ou serviços com estoque limitado assim que são colocados à venda on-line (como ingressos para shows e tênis de edição limitada). Ao concluir o processo de checkout instantaneamente, os criminosos passam a controlar grande parte do estoque valioso, que geralmente é revendido em mercados secundários com um ágio significativo, causando escassez artificial, indisponibilidade de estoque e frustração dos consumidores.
16. Raspagem de dados. Embora não seja inerentemente maliciosa, a raspagem de dados é o processo automatizado de extração de dados de sites ou aplicações web. Ela se torna uma ameaça automatizada quando usada para fins não autorizados ou maliciosos, como quando bots são utilizados para coletar conteúdo de um site-alvo a fim de analisá-lo, reutilizá-lo ou manipular preços, especialmente em mercados competitivos. A raspagem de dados também pode afetar o desempenho do site e impedir que usuários legítimos o acessem.
17. Distorção. Isso ocorre quando agentes mal-intencionados clicam, solicitam ou enviam conteúdo repetidamente em uma aplicação web, afetando intencionalmente métricas da aplicação, como contagens, curtidas, impressões, resultados de enquetes, frequência ou taxas. A distorção pode ser realizada por bots automatizados que imitam o comportamento humano para gerar interações artificiais com a aplicação web. O objetivo da distorção é manipular e adulterar os dados gerados pelas métricas da aplicação, produzindo resultados imprecisos ou enganosos.
18. Sniping. Esse é um tipo de atividade maliciosa que envolve o uso de bots ou scripts automatizados para obter vantagem competitiva em leilões, vendas ou sistemas de reservas on-line. O termo “sniping” é comumente usado no contexto de eventos com tempo limitado ou itens com disponibilidade restrita, nos quais a velocidade e a precisão do momento da ação desempenham um papel crucial, deixando tempo insuficiente para que outro usuário faça um lance ou uma oferta. O sniping permite que os invasores obtenham vantagem competitiva sobre usuários humanos que participam manualmente do evento, pois os bots conseguem executar ações com mais rapidez e precisão.
19. Spam. Refere-se a conteúdo malicioso ou informações duvidosas distribuídas por bots e exibidas em conteúdo público ou privado, bancos de dados ou mensagens de usuários em aplicações web. O conteúdo malicioso pode incluir malware, pop-ups IFRAME, fotografias, vídeos, anúncios e códigos de rastreamento/vigilância. Os invasores também usam spam para adicionar comentários falsos a fóruns e outros aplicativos de mensagens, a fim de falsificar informações ou distribuir malware.
20. Quebra de tokens. Esse ataque automatizado ocorre quando criminosos realizam a enumeração em massa de números de cupons, códigos de vouchers e tokens de desconto. O benefício obtido pode ser um desconto, um valor em dinheiro, um crédito ou acesso a uma oferta especial.
21. Varredura de vulnerabilidades. Essa ameaça consiste no uso de ferramentas ou scripts automatizados para identificar e explorar vulnerabilidades em aplicações web. Ao contrário da varredura legítima de vulnerabilidades, cujo objetivo é identificar pontos fracos para melhorar a segurança, a varredura de vulnerabilidades como ameaça automatizada é realizada com a intenção maliciosa de comprometer a segurança da aplicação. Os criminosos usam ferramentas ou scripts de varredura automatizada para examinar sistematicamente aplicações expostas na Internet, geralmente logo após a divulgação de uma vulnerabilidade. Depois que as vulnerabilidades são identificadas, os criminosos tentam explorá-las para obter acesso não autorizado à aplicação, a dados confidenciais ou à infraestrutura de servidores subjacente.

A importância dos controles de segurança integrados

A F5 aborda os riscos de segurança da OWASP

A F5 apoia a OWASP Foundation e seu compromisso de aprimorar a segurança de software e conscientizar sobre os riscos e as vulnerabilidades de segurança de aplicações web em diversos níveis. De fato, há riscos de segurança comuns tanto a aplicações web quanto a APIs que devem ser considerados ao implementar soluções de segurança. Por exemplo:

• Controles de autenticação/autorização fracos
• Configuração incorreta
• Abuso da lógica de negócios (preenchimento de credenciais, invasão de contas)
• Falsificação de solicitação do lado do servidor (SSRF).

A F5 oferece soluções para lidar com os riscos descritos no Projeto de Ameaças Automatizadas a Aplicações Web da OWASP.F5 Distributed Cloud Bot Defense evita fraudes e abusos capazes de contornar as soluções existentes de gerenciamento de bots e fornece monitoramento e inteligência em tempo real, além de análise retrospectiva baseada em ML, para proteger as organizações contra ataques automatizados, sem criar atritos para o usuário nem prejudicar a experiência do cliente. Distributed Cloud Bot Defense mantém sua eficácia independentemente de como os invasores reformulem suas estratégias, seja transferindo os ataques de aplicações web para APIs, seja tentando contornar as defesas contra automação por meio da falsificação de telemetria ou do uso de pessoas para resolver CAPTCHAs. Soluções F5 de gerenciamento de bots oferecem pontos de inserção flexíveis em proxies de aplicações, plataformas e redes de distribuição de conteúdo (CDNs).

Soluções F5 Web Application Firewall também bloqueiam e mitigam uma ampla variedade de riscos identificados pelo OWASP Top 10, uma lista amplamente reconhecida dos riscos mais críticos à segurança de aplicações web. As soluções de WAF da F5 combinam proteções baseadas em assinaturas e comportamento, incluindo inteligência contra ameaças da F5 Labs e segurança baseada em ML, para acompanhar a evolução das ameaças. Elas reduzem o esforço e a complexidade de proteger aplicações de forma consistente em ambientes de nuvem, locais e de borda, além de simplificar o gerenciamento por meio de uma infraestrutura SaaS centralizada. Os WAFs da F5 também simplificam a segurança de aplicações ao integrar proteções a frameworks de desenvolvimento e pipelines de CI/CD, com funcionalidades essenciais de segurança, orquestração centralizada e supervisão por meio de um único painel, que oferece uma visão de 360 graus do desempenho das aplicações e dos eventos de segurança em aplicações distribuídas. Um WAF integrado a uma defesa especializada contra bots oferece uma solução robusta para mitigar os principais riscos de segurança, incluindo a exploração de vulnerabilidades e ameaças automatizadas.

A F5 aborda os riscos identificados no OWASP API Security Top 10 com soluções que protegem a crescente superfície de ataque e contra ameaças emergentes à medida que os aplicativos evoluem e as implantações de APIs aumentam. As soluções de proteção de aplicações web e APIs (WAAP) da F5 defendem toda a superfície de ataque das aplicações modernas com proteções abrangentes que incluem WAF, segurança de APIs, mitigação de DDoS das camadas 3 a 7 e defesa contra bots para combater ameaças automatizadas e as fraudes resultantes. A plataforma distribuída facilita a implantação de políticas consistentes e o dimensionamento da segurança em todo o seu portfólio de aplicativos e APIs, independentemente de onde estejam hospedados, além de integrar proteções ao ciclo de vida das APIs e a ecossistemas de segurança mais amplos.

A F5 também oferece proteção contra DDoS em várias camadas para segurança online avançada como um serviço gerenciado de mitigação fornecido pela nuvem, que detecta e mitiga, em tempo real, ataques de grande escala direcionados à rede, aos protocolos e às aplicações. As mesmas proteções também estão disponíveis como soluções locais de hardware e software, além de soluções híbridas. O F5 Distributed Cloud DDoS Mitigation oferece proteção contra ataques volumétricos e específicos a aplicações nas camadas 3 e 4, bem como contra ataques avançados na camada 7, antes que eles atinjam sua infraestrutura de rede e suas aplicações.

Para obter mais informações sobre como os componentes da plataforma F5 ADSP protegem contra os riscos de segurança do OWASP, consulte os seguintes recursos:

• "Bots, fraudes e o Projeto de Ameaças Automatizadas da OWASP (visão geral)"
• "O paradoxo da segurança de APIs: quando a automação se torna solução e ameaça"