aplicativo Ameaças à segurança: o OWASP Top 10
Há inúmeras ameaças de segurança que afetam os aplicativos de software. No entanto, a lista dos 10 principais do Open Web Application Security Project (OWASP) compila as ameaças de aplicativos que são mais prevalentes e graves, e que provavelmente afetarão os aplicativos em produção.
As iniciativas AppSec devem focar pelo menos nessas ameaças de alto perfil para aplicativos modernos:
- Injeção— a injeção de código envolve uma consulta ou comando enviado a um aplicativo de software, que contém dados maliciosos ou não confiáveis. O mais comum é a injeção de SQL, mas também pode afetar NoSQL, sistemas operacionais e servidores LDAP.
- Autenticação quebrada– muitos aplicativos possuem funções de autenticação e autorização inadequadas ou com defeito. Isso pode permitir que um invasor roube credenciais de usuário ou obtenha acesso facilmente sem as credenciais apropriadas.
- O aplicativo e API de exposição de dados confidenciais podem expor abertamente dados confidenciais pertencentes à organização ou a seus clientes, incluindo detalhes financeiros ou de pagamento e informações de identificação pessoal (PII).
- Entidades Externas XML (XXE)— os invasores podem fazer uso malicioso de referências de entidades externas em documentos XML, devido à vulnerabilidade em analisadores XML antigos. Eles podem ser usados para obter acesso a arquivos internos, verificar portas e executar código remotamente.
- Controle de acesso quebrado— as restrições para usuários autenticados não são implementadas corretamente. Um invasor pode usar isso para obter acesso a funções ou dados não autorizados, acessar a conta de outro usuário, visualizar arquivos confidenciais ou alterar permissões de outros usuários.
- Configuração incorreta de segurança— mesmo que um aplicativo tenha recursos de segurança, eles podem estar configurados incorretamente. Isso geralmente ocorre porque ninguém alterou a configuração padrão do aplicativo. Isso inclui falhas na correção de sistemas operacionais e estruturas.
- Cross-Site Scripting (XSS)— permite que um invasor execute um script malicioso no navegador do usuário. Isso pode ser usado para roubar sessões, redirecionar usuários para sites maliciosos ou desfigurar sites.
- Desserialização insegura– falhas na maneira como o código é obtido de um arquivo e construído em um objeto. Isso pode permitir a execução de código malicioso, escalonamento de privilégios e reprodução de atividades por usuários autorizados.
- Usando componentes com vulnerabilidade conhecida— vários bancos de dados de vulnerabilidade relatam vulnerabilidade conhecida em componentes de software. Software que usa um componente vulnerável (mesmo que seja uma dependência de um de seus componentes) está exposto a ataques.
- Registro e monitoramento insuficientes— muitos aplicativos podem não ter meios de identificar ou registrar tentativas de violação. Isso pode significar que as violações passam despercebidas e os invasores podem realizar movimentos laterais para comprometer sistemas adicionais.
Um processo AppSec básico envolve os seguintes estágios:
- Definição de ativos corporativos
- Determinação de como cada aplicativo afeta esses ativos
- Criação de um perfil de segurança para cada aplicativo
- Identificar e priorizar ameaças potenciais
- Registro de incidentes de segurança e tentativas de mitigação
Teste de segurança de aplicativo estático (SAST)
As ferramentas SAST permitem o teste da caixa branca. Eles avaliam o código do aplicativo, escaneiam para identificar bugs, vulnerabilidades ou outros pontos fracos que podem criar um problema de segurança. O SAST pode ser executado em código compilado, código não compilado ou ambos.
A análise SAST pode identificar problemas como:
- Condições da corrida
- Travessias de path
- Validação de entrada ausente
- Erros numéricos ou de tipo de dados
- Referências ou ponteiros não seguros
Teste de segurança de aplicativo dinâmico (DAST)
As ferramentas DAST usam métodos de teste de caixa preta para testar aplicativos em execução quanto a problemas de segurança. Eles executam análise dinâmica do código-fonte enquanto ele está em execução. O DAST normalmente usa testes fuzz, que envolvem atingir o aplicativo com um grande número de solicitações aleatórias e inesperadas.
O DAST pode detectar condições que indicam vulnerabilidades de segurança, como:
- Interfaces não seguras ou vulneráveis
- Solicitações e respostas anômalas
- Problemas de script em linguagens como JavaScript e Python
- Injeção de dados ou código
- Anomalias da sessão
- Problemas de autenticação
Teste de segurança de aplicativo interativo (IAST)
O IAST é de abordagem híbrida que combina SAST e DAST. A abordagem interativa para testes de segurança combina análise estática e dinâmica — isso torna possível identificar vulnerabilidades conhecidas e também ver se elas são realmente usadas no aplicativo em execução e podem ser exploradas.
As ferramentas IAST coletam informações detalhadas sobre o fluxo de execução de aplicativos e fluxos de dados e podem simular padrões complexos de ataque. Como ele executa escaneamento dinâmico de um aplicativo em execução, ele pode verificar como o aplicativo responde e ajustar seus testes de acordo. Isso pode ser usado para criar automaticamente novos casos de teste, e assim por diante (como um testador de penetração humana).
Devido a essa abordagem, as ferramentas IAST podem investigar profundamente o problema de segurança suspeito, o que reduz o número de falsos positivos. Eles também se encaixam muito mais naturalmente em um processo de desenvolvimento ágil com lançamentos rápidos.
Firewall de aplicativo baseado em regras (Web Application Firewall, WAF) (WAF)
Um WAF é uma solução implantada na borda da rede, que inspeciona o tráfego que entra e sai da rede e tenta identificar e bloquear o tráfego malicioso.
Os WAFs tradicionais baseados em regras são uma ferramenta de alta manutenção que exige que as organizações definam meticulosamente um conjunto de regras que corresponda ao tráfego específico e aos padrões dos aplicativos. Além disso, os WAFs baseados em regras têm cobertura limitada de vetores de ataque em constante mudança.
Além disso, os WAFs tradicionais não podem proteger automaticamente novos microsserviços, porque cada novo microsserviço implantado requer uma sobrecarga significativa na definição de novas regras e políticas. Em termos práticos, isso significa que novos sistemas implantados pela organização não serão, em muitos casos, protegidos.
Práticas recomendadas de segurança de aplicativos
Aqui estão algumas práticas recomendadas que você pode usar para implementar o AppSec de forma eficaz em sua organização.
Comece com uma avaliação de ameaças
Investigue quais são os principais pontos de entrada que os atacantes podem usar para violar seus aplicativos, quais medidas de segurança estão em vigor e se são adequadas. Defina metas e marcos razoáveis ao longo do tempo para o nível de segurança que você deseja alcançar em relação a cada tipo de ameaça.
Mudar segurança para a esquerda
Os testes de segurança devem ser totalmente integrados com o ciclo de vida de desenvolvimento de software (SDLC), desde o estágio de planejamento até o desenvolvimento, teste e implantação até a produção.
Use ferramentas automatizadas para garantir que os aplicativos sejam testados o mais cedo possível no processo e em vários pontos de verificação em todo o pipeline de CI/CD. Por exemplo, quando um desenvolvedor confirma um código e aciona uma compilação, esse código deve passar automaticamente por algum tipo de teste de segurança, permitindo que o desenvolvedor corrija imediatamente problemas de segurança em seu código.
Esse mesmo código deve ser testado novamente, de forma mais abrangente, quando promovido a um ambiente de teste e produção.
Priorizar a correção
A segurança de aplicativos resultará na descoberta de vulnerabilidades em seus aplicativos, e você não poderá corrigir todas elas. A priorização é muito importante para garantir que as vulnerabilidades críticas sejam remediadas rapidamente, sem prejudicar a produtividade do desenvolvedor.
Seu processo de teste de segurança deve incluir métricas automatizadas mostrando a gravidade e a capacidade de exploração da vulnerabilidade e, se necessário, uma avaliação manual indicando se a vulnerabilidade realmente representa um risco para os negócios. Componentes vulneráveis que não estão sendo executados na produção não são uma prioridade.
Certifique-se de que os desenvolvedores saibam que estão trabalhando em vulnerabilidades reais e de alto perfil e tenham tempo para corrigi-las onde quer que ocorram no SDLC.
Acompanhe os resultados do AppSec
Um programa AppSec requer um grande investimento de tempo e recursos, bem como mudanças culturais e organizacionais. É importante entender o impacto do programa na segurança para justificar o programa e garantir que ele seja apoiado pela gerência.
Métricas importantes que você pode acompanhar e compartilhar para demonstrar o sucesso do AppSec — uma tendência semanal ou mensal pode mostrar o impacto da introdução de medidas de segurança de aplicativos:
- Número de violações de políticas internas de AppSec
- Número de violações de conformidade
- Número de defeitos de segurança encontrados no ambiente de teste
- Número de defeitos de segurança encontrados na produção
- Número de incidentes de segurança
Gerenciar privilégios
Todos os dados relacionados a um programa de segurança de aplicativos são confidenciais e podem ser extremamente úteis para um invasor. Certifique-se de gerenciar cuidadosamente:
- Documentação de políticas e processos
- Acesso a ferramentas de segurança
- Acesso a CI/CD e ferramentas de desenvolvimento
Use o princípio do menor privilégio e garanta que cada usuário tenha acesso apenas aos dados e sistemas de que realmente precisa para realizar seu trabalho. Use princípios de confiança zero entre sistemas integrados, garantindo que cada sistema tenha apenas as permissões mínimas necessárias para funcionar.
AppSec com Check Point
O CloudGuard da Check Point inclui uma solução de segurança de aplicativo de configuração zero que oferece:
- Prevenção precisa – proteção contra ataques sofisticados como o OWASP top 10, sem gerar falsos positivos
- Administração de política zero – adapta-se automaticamente a alterações e atualizações de aplicativos
- Implantação flexível e rápida – com implantação para proteção em até 48 horas
Alimentado por um mecanismo de IA contextual com patente pendente, o aplicativo CloudGuard Security é totalmente automatizado e pode ser implantado em qualquer ambiente.
Opinião