Segurança em aplicações

RODRIGO CANEPPELE
Desenvolvedor/
Instrutor
~ 10 anos exp.

Pilares
TRATAMENTO DAS INFORMAÇÕES
CONTROLE DE ACESSO

Pilares
TRATAMENTO DAS INFORMAÇÕES
CONTROLE DE ACESSO
GERENCIAMENTO DE ATAQUES

Controle de acesso
AUTENTICAÇÃO

Controle de acesso
AUTORIZAÇÃO

Controle de acesso
GERENCIAMENTO DE SESSÃO

ATENÇÃO!
GERENCIAMENTO DE SESSÃO

Tratamento das informações
Principal dificuldade em relação
à segurança:

+
Principal dificuldade em relação
à segurança:

Regra de ouro

Regra de ouro
Usuário == hacker

Regra de ouro
Usuário == hacker Toda informação é um script
do mal!

2ª Regra de ouro

2ª Regra de ouro
Validação

2ª Regra de ouro
Validação
Tratamento

Gerenciamento de ataques
TRATAMENTO DE ERROS

ATENÇÃO!
TRATAMENTO DE ERROS

LOGS DE AUDITORIA

MONITORAMENTO/ALERTAS

Agora está seguro!
Aparentemente…

A1: Injection
SQL Injection
XPath Injection
LDAP Injection
Parameter Injection(Mass Assignment)

A2: Broken Authentication
Login via Brute Force
Session Hijacking

A3: Sensitive Data Exposure
Man In The Middle
Dados em cookies/hidden inputs
Acesso a URL’s desprotegidas

A4: XML External Entities
Enviar XML com referências

A5: Broken Access Control
Acessar URL’s sem autenticação
Acessar dados de outros usuários
Executar ações sem permissão
Simular CSRF

A6: Security Misconfiguration
Acessar configurações default
Obter informações em páginas de
erro

A7: Cross-Site Scripting
Descobrir falhas no CSP Header
Simular ataques XSS

A8: Insecure Deserialization
Enviar arquivos com scripts

A9: Using Components with
Known Vulnerabilities
Descobrir libs/frameworks
Explorar vulnerabilidades conhecidas

A10: Insufficient Logging &
Monitoring
Executar brute force
Executar DOS

Enfim…
Segurança é uma área extensa e
complexa

Com vários desafios
Segurança
Comodidade

OBRIGADO!
Rodrigo Caneppele
github.com/rcaneppele
r.caneppele@gmail.com
@rcaneppele
linkedin.com/in/rcaneppele

Recomendados