Curso de OWASP Top 10 2025

A01:2025 - Controle de Acesso Quebrado
A02:2025 - Configuração de Segurança Incorreta
A03:2025 - Falhas na Cadeia de Suprimentos de Software
A04:2025 - Falhas Criptográficas
A05:2025 - Injeção
A06:2025 - Design Inseguro
A07:2025 - Falhas de Autenticação
A08:2025 - Falhas de Integridade de Software ou Dados
A09:2025 - Falhas em Logs de Segurança e Alertas
A10:2025 - Tratamento Inadequado de Condições Excepcionais

A01:2025 Controle de Acesso Quebrado - O controle de acesso aplica políticas para que os usuários não possam agir fora de suas permissões pretendidas. Falhas tipicamente levam a divulgação não autorizada de informações, modificação ou destruição de todos os dados, ou execução de funções de negócio fora dos limites do usuário.

A02:2025 Configuração de Segurança Incorreta - Configuração de segurança incorreta ocorre quando um sistema, aplicação ou serviço em nuvem é configurado de maneira inadequada sob a perspectiva de segurança, criando vulnerabilidades.

A03:2025 Falhas na Cadeia de Suprimentos de Software - Falhas na cadeia de suprimentos de software são quebras ou outras compromissos no processo de construção, distribuição ou atualização de software. Elas são frequentemente causadas por vulnerabilidades ou alterações maliciosas em código de terceiros, ferramentas ou outras dependências nas quais o sistema se baseia.

A04:2025 Falhas Criptográficas - Em termos gerais, todos os dados em trânsito devem ser criptografados na camada de transporte (camada 4 da OSI). Obstáculos anteriores, como o desempenho da CPU e a gerenciamento de chaves privadas/certificados, agora são resolvidos por CPUs com instruções projetadas para acelerar a criptografia (ex.: suporte a AES) e a simplificação do gerenciamento de chaves privadas e certificados por serviços como o LetsEncrypt.org, com os principais fornecedores de nuvem oferecendo serviços de gerenciamento de certificados ainda mais integrados para suas plataformas específicas. Além de proteger a camada de transporte, é importante determinar quais dados precisam de criptografia em repouso e quais dados precisam de criptografia extra em trânsito (na camada de aplicação, camada 7 da OSI). Por exemplo, senhas, números de cartões de crédito, registros de saúde, informações pessoais e segredos comerciais requerem proteção extra, especialmente se esses dados estiverem sujeitos a leis de privacidade, como o Regulamento Geral de Proteção de Dados (GDPR) da UE, ou regulamentações como o Padrão de Segurança de Dados do PCI (PCI DSS).

A05:2025 Injeção - Uma vulnerabilidade de injeção é um defeito do sistema que permite que um invasor insira código ou comandos maliciosos (como código SQL ou shell) nos campos de entrada de um programa, enganando o sistema para executar o código ou comandos como se fizessem parte do sistema. Isso pode levar a consequências realmente graves.

A06:2025 Design Inseguro - Design inseguro é uma categoria ampla que representa diferentes fraquezas, expressas como "falta de design de controle ou design de controle ineficaz". O design inseguro não é a fonte de todas as outras categorias de risco Top Ten. Note que há uma diferença entre design inseguro e implementação insegura. Diferenciamos entre falhas de design e defeitos de implementação por uma razão: eles têm causas raiz diferentes, ocorrem em momentos diferentes do processo de desenvolvimento e possuem correções diferentes. Um design seguro ainda pode ter defeitos de implementação que levam a vulnerabilidades que podem ser exploradas. Um design inseguro não pode ser corrigido por uma implementação perfeita, pois os controles de segurança necessários nunca foram criados para se defender contra ataques específicos. Um dos fatores que contribuem para o design inseguro é a falta de perfilagem de risco de negócio inerente ao software ou sistema em desenvolvimento, e, portanto, a falha em determinar qual nível de design de segurança é necessário.

A07:2025 Falhas de Autenticação - Quando um invasor consegue enganar um sistema a reconhecer um usuário inválido ou incorreto como legítimo, esta vulnerabilidade está presente.

A08:2025 Falhas de Integridade de Software ou Dados - Falhas de integridade de software e dados relacionam-se a código e infraestrutura que não protegem contra código ou dados inválidos ou não confiáveis sendo tratados como confiáveis e válidos. Um exemplo disso é quando uma aplicação depende de plugins, bibliotecas ou módulos de fontes não confiáveis, repositórios e redes de distribuição de conteúdo (CDNs). Um pipeline CI/CD inseguro que não consome e fornece verificações de integridade de software pode introduzir o potencial para acesso não autorizado, código inseguro ou malicioso, ou comprometimento do sistema. Outro exemplo para isso é um CI/CD que busca código ou artefatos de lugares não confiáveis e/ou não os verifica antes do uso (verificando a assinatura ou mecanismo semelhante).

A09:2025 Falhas em Logs de Segurança & Alertas - Sem logs e monitoramento, ataques e violações não podem ser detectados, e sem alertas é muito difícil responder rapidamente e efetivamente durante um incidente de segurança. Logs insuficientes, monitoramento contínuo, detecção e alertas para iniciar respostas ativas ocorrem a qualquer momento

A10:2025 Tratamento Inadequado de Condições Excepcionais - O tratamento inadequado de condições excepcionais em software ocorre quando programas falham em prevenir, detectar e responder a situações incomuns e imprevisíveis, o que leva a travamentos, comportamento inesperado e, às vezes, vulnerabilidades. Isso pode envolver um ou mais dos seguintes 3 fracassos; a aplicação não impede que uma situação incomum aconteça, não identifica a situação enquanto ela está acontecendo, e/ou responde mal ou não responde à situação posteriormente.

Discutiremos e apresentaremos aspectos práticos de:

Controle de Acesso Quebrado
- Exemplos práticos de controles de acesso quebrados
- Controles de acesso seguros e melhores práticas

Configuração de Segurança Incorreta
- Exemplos do mundo real de configurações incorretas
- Etapas para prevenir configurações incorretas, incluindo ferramentas de gerenciamento de configuração e automação

Falhas Criptográficas
- Análise detalhada de falhas criptográficas, como algoritmos de criptografia fracos ou gerenciamento inadequado de chaves
- Importância de mecanismos criptográficos robustos, protocolos seguros (SSL/TLS) e exemplos de criptografia moderna na segurança web

Ataques de Injeção
- Detalhamento de injeção SQL, NoSQL, OS e LDAP
- Técnicas de mitigação usando instruções preparadas, consultas parametrizadas e escapamento de entradas

Design Inseguro
- Exploraremos falhas de design que podem levar a vulnerabilidades, como validação inadequada de entrada
- Estudaríamos estratégias para arquitetura segura e princípios de design seguro

Falhas de Autenticação
- Problemas comuns de autenticação
- Estratégias de autenticação segura, como autenticação multifator e tratamento adequado de sessões

Falhas de Integridade de Software e Dados
- Foco em problemas como atualizações de software não confiáveis e adulteração de dados
- Mecanismos seguros de atualização e verificações de integridade de dados

Falhas em Logs e Monitoramento de Segurança
- Importância de registrar informações relevantes para a segurança e monitorar atividades suspeitas
- Ferramentas e práticas para log adequado e monitoramento em tempo real para detectar violações cedo