What is an Application Vulnerability?

Explorações comuns de vulnerabilidade em aplicativos

Embora novos exploits e zero day sejam criados regularmente, eles geralmente tiram vantagem de um pequeno conjunto de vulnerabilidades. Muitas dessas vulnerabilidades são conhecidas há anos, mas continuam aparecendo no código do aplicativo.

A lista dos dez principais da OWASP é um recurso bem conhecido que destaca algumas das vulnerabilidades mais comuns e impactantes que aparecem em aplicativos (com foco em aplicativos da web). A versão atual da lista OWASP Top Ten foi lançada em 2021 e inclui as seguintes dez vulnerabilidades:

1. Controle de acesso quebrado
2. Falhas criptográficas
3. Injeção
4. Design Inseguro
5. Configuração incorreta de segurança
6. Componentes vulneráveis e desatualizados
7. Falhas de identificação e autenticação
8. Falhas de software e integridade de dados
9. Falhas de registro e monitoramento de segurança
10. Falsificação de solicitação do lado do servidor

Esta lista descreve classes gerais de vulnerabilidade com foco nas causas raízes de um problema. A Enumeração de Fraquezas Comuns (CWE) fornece informações sobre instâncias específicas de um problema específico. Cada uma das dez vulnerabilidades do OWASP contém uma lista de um ou mais CWEs associados. Por exemplo, Falhas Criptográficas inclui uma lista de vinte e nove CWEs mapeados, como o uso de uma chave criptográfica codificada ou verificação inadequada de assinaturas criptográficas.

Maneiras de corrigir a vulnerabilidade do aplicativo

À medida que as equipes de desenvolvimento adotam práticas DevSecOps , automatizar o gerenciamento de vulnerabilidades é essencial para garantir a segurança e, ao mesmo tempo, atender às metas de desenvolvimento e lançamento. As equipes de desenvolvimento podem usar diversas ferramentas para identificar aplicativos vulneráveis, incluindo:

• Teste de segurança de aplicativo estático (SAST): As ferramentas SAST analisam o código-fonte de um aplicativo sem executá-lo. Isso torna possível identificar algumas vulnerabilidades no início do ciclo de vida de desenvolvimento de software, quando um aplicativo não está em estado executável.
• Teste de segurança de aplicativo dinâmico (DAST): As soluções DAST interagem com um aplicativo em execução, realizando uma avaliação de vulnerabilidade de caixa preta. As ferramentas DAST são projetadas para procurar vulnerabilidades conhecidas e desconhecidas em um aplicativo, enviando entradas maliciosas comuns, bem como solicitações aleatórias e malformadas geradas por meio de difusão.
• Teste interativo de segurança de aplicativos (IAST): as soluções IAST usam instrumentação para obter visibilidade da execução do aplicativo. Com essa visibilidade interna, as soluções IAST podem identificar problemas que podem não ser detectáveis com uma abordagem DAST de caixa preta.
• Análise de composição de software (SCA): a maioria dos aplicativos inclui código de terceiros, como bibliotecas e dependências, que também podem conter vulnerabilidades exploráveis. O SCA fornece visibilidade do código externo usado em um aplicativo, possibilitando identificar e remediar vulnerabilidades conhecidas neste software.

Um fluxo de trabalho DevSecOps eficaz integrará a maioria ou todas essas abordagens em pipelines automatizados de CI/CD. Isso maximiza a probabilidade de que a vulnerabilidade seja identificada e corrigida o mais rápido possível, ao mesmo tempo que minimiza a sobrecarga e a interrupção para os desenvolvedores.