Curso de OWASP Top 10 2025

A01:2025 - Controle de Acesso Quebrado A02:2025 - Má Configuração de Segurança A03:2025 - Falhas na Cadeia de Suprimentos de Software A04:2025 - Falhas Criptográficas A05:2025 - Injeção A06:2025 - Design Inseguro A07:2025 - Falhas de Autenticação A08:2025 - Falhas de Integridade de Software ou Dados A09:2025 - Falhas em Logs e Alertas de Segurança A10:2025 - Tratamento Inadequado de Condições Excepcionais

A01:2025 Controle de Acesso Quebrado - O controle de acesso força a aplicação de políticas para que os usuários não possam agir fora de suas permissões pretendidas. Falhas tipicamente levam a divulgação não autorizada, modificação ou destruição de todos os dados, ou execução de uma função de negócio fora dos limites do usuário.

A02:2025 Má Configuração de Segurança - A má configuração de segurança ocorre quando um sistema, aplicativo ou serviço em nuvem é configurado incorretamente sob a perspectiva de segurança, criando vulnerabilidades.

A03:2025 Falhas na Cadeia de Suprimentos de Software - As falhas na cadeia de suprimentos de software são quebras ou outras comprometimentos no processo de construção, distribuição ou atualização de software. Elas são frequentemente causadas por vulnerabilidades ou alterações maliciosas em código, ferramentas ou outras dependências de terceiros nas quais o sistema depende.

A04:2025 Falhas Criptográficas - Em geral, todos os dados em trânsito devem ser criptografados na camada de transporte (camada 4 do modelo OSI). Anteriores obstáculos, como o desempenho da CPU e o gerenciamento de chaves privadas/certificados, agora são tratados por CPUs com instruções projetadas para acelerar a criptografia (ex.: suporte a AES) e o gerenciamento de chaves privadas e certificados sendo simplificado por serviços como LetsEncrypt.org, com grandes provedores de nuvem oferecendo serviços de gerenciamento de certificados ainda mais integrados para suas plataformas específicas. Além de proteger a camada de transporte, é importante determinar quais dados precisam de criptografia em repouso, bem como quais dados precisam de criptografia adicional em trânsito (na camada de aplicação, camada 7 do modelo OSI). Por exemplo, senhas, números de cartão de crédito, registros de saúde, informações pessoais e segredos de negócios exigem proteção extra, especialmente se esses dados estiverem sujeitos a leis de privacidade, por exemplo, o Regulamento Geral de Proteção de Dados (RGPD) da UE, ou regulamentações como o Padrão de Segurança de Dados do setor de Cartões de Pagamento (PCI DSS).

A05:2025 Injeção - Uma vulnerabilidade de injeção é uma falha no sistema que permite a um invasor inserir código ou comandos maliciosos (como código SQL ou shell) nos campos de entrada de um programa, enganando o sistema para executar o código ou comandos como se fizessem parte do sistema. Isso pode levar a consequências verdadeiramente graves.

A06:2025 Design Inseguro - O design inseguro é uma categoria ampla que representa diferentes fraquezas, expressas como "design de controle ausente ou ineficaz". O design inseguro não é a fonte de todas as outras categorias de risco do Top Ten. Observe que há uma diferença entre design inseguro e implementação insegura. Distinguimos entre falhas de design e defeitos de implementação por uma razão: eles têm causas raízes diferentes, ocorrem em momentos diferentes no processo de desenvolvimento e têm correções diferentes. Um design seguro ainda pode ter defeitos de implementação que levem a vulnerabilidades que podem ser exploradas. Um design inseguro não pode ser corrigido por uma implementação perfeita, pois os controles de segurança necessários nunca foram criados para se defender contra ataques específicos. Um dos fatores que contribuem para o design inseguro é a falta de perfil de risco de negócio inerente ao software ou sistema em desenvolvimento, e, portanto, a falha em determinar qual nível de design de segurança é requerido.

A07:2025 Falhas de Autenticação - Quando um invasor é capaz de enganar um sistema para que reconheça um usuário inválido ou incorreto como legítimo, esta vulnerabilidade está presente.

A08:2025 Falhas de Integridade de Software ou Dados - Falhas de integridade de software e dados relacionam-se a código e infraestrutura que não protegem contra código ou dados inválidos ou não confiáveis sendo tratados como confiáveis e válidos. Um exemplo disso é quando um aplicativo depende de plugins, bibliotecas ou módulos de fontes não confiáveis, repositórios e redes de entrega de conteúdo (CDNs). Um pipeline CI/CD inseguro sem consumir e fornecer verificações de integridade de software pode introduzir o potencial de acesso não autorizado, código inseguro ou malicioso, ou comprometimento do sistema. Outro exemplo disso é um CI/CD que obtém código ou artefatos de locais não confiáveis e/ou não os verifica antes do uso (verificando a assinatura ou mecanismo similar).

A09:2025 Falhas em Logs e Alertas de Segurança - Sem logging e monitoramento, ataques e violações não podem ser detectados, e sem alertas é muito difícil responder rapidamente e eficazmente durante um incidente de segurança. Logging insuficiente, monitoramento contínuo, detecção e alertas para iniciar respostas ativas ocorrem a qualquer momento

A10:2025 Tratamento Inadequado de Condições Excepcionais - O tratamento inadequado de condições excepcionais em software ocorre quando os programas falham em prevenir, detectar e responder a situações incomuns e imprevisíveis, o que leva a travamentos, comportamento inesperado e, às vezes, vulnerabilidades. Isso pode envolver um ou mais dos seguintes 3 falhas; o aplicativo não previne uma situação incomum de acontecer, não identifica a situação enquanto ela está acontecendo, e/ou responde mal ou não responde de forma alguma à situação depois.

Nós discutiremos e apresentaremos aspectos práticos de:

Controle de Acesso Quebrado - Exemplos práticos de controles de acesso quebrados - Controles de acesso seguros e melhores práticas

Má Configuração de Segurança - Exemplos do mundo real de configurações incorretas - Etapas para prevenir má configuração, incluindo gerenciamento de configuração e ferramentas de automação

Falhas Criptográficas - Análise detalhada de falhas criptográficas, como algoritmos de criptografia fracos ou gerenciamento de chaves inadequado - Importância de mecanismos criptográficos fortes, protocolos seguros (SSL/TLS) e exemplos de criptografia moderna em segurança web

Ataques de Injeção - Detalhamento da injeção SQL, NoSQL, OS e LDAP - Técnicas de mitigação usando instruções preparadas, consultas parametrizadas e escapamento de entradas

Design Inseguro - Exploraremos falhas de design que podem levar a vulnerabilidades, como validação de entrada inadequada - Estudaremos estratégias para arquitetura segura e princípios de design seguro

Falhas de Autenticação - Problemas comuns de autenticação - Estratégias de autenticação segura, como autenticação multifator e tratamento adequado de sessões

Falhas de Integridade de Software e Dados - Foco em problemas como atualizações de software não confiáveis e adulteração de dados - Mecanismos de atualização seguros e verificações de integridade de dados

Falhas em Logs e Monitoramento de Segurança - Importância de logar informações relevantes para a segurança e monitorar atividades suspeitas - Ferramentas e práticas para logging adequado e monitoramento em tempo real para detectar violações cedo