Segurança de Aplicações Web - 101

Slide 1

Slide 1 text

Segurança de Aplicaçoes Web 101

Slide 2

Slide 2 text

github.com/thulioph twitter.com/thulioph_ thulioph.com Thulio Philipe thulioph

Slide 3

Slide 3 text

we are labcodes

Slide 4

Slide 4 text

Atenção

Slide 5

Slide 5 text

Atenção • Não se preocupe com links, todos estão nos slides. • O slides serão disponibilizados. • Tome nota de alguns termos, podem ser ú!l para uma pesquisa futura. • Esta palestra foi desenvolvida apenas com 4 cores.

Slide 6

Slide 6 text

Cronograma

Slide 7

Slide 7 text

Cronograma • Vulnerabilidades • OWASP • Recursos • Riscos • Top 10 riscos de segurança • Comunidade

Slide 8

Slide 8 text

"Questões de segurança acontecem principalmente porque desenvolvedores que sabem das coisas, esquecem ou ignoram." – Hater do Hacker News

Slide 9

Slide 9 text

Vulnerabilidades

Slide 10

Slide 10 text

2016

Slide 11

Slide 11 text

goo.gl/zqUaZa

Slide 12

Slide 12 text

goo.gl/XHw6iB

Slide 13

Slide 13 text

goo.gl/Yx5PHL

Slide 14

Slide 14 text

2017

Slide 15

Slide 15 text

goo.gl/gvzLDt

Slide 16

Slide 16 text

goo.gl/UN7F6p

Slide 17

Slide 17 text

goo.gl/heo7wv

Slide 18

Slide 18 text

+20 milhoes

Slide 19

Slide 19 text

OWASP

Slide 20

Slide 20 text

consultoria produto 11 empresas

Slide 21

Slide 21 text

+50 mil

Slide 22

Slide 22 text

Recursos

Slide 23

Slide 23 text

Cheat Sheet Series

Slide 24

Slide 24 text

excelente guia fácil leitura coleção de dicas

Slide 25

Slide 25 text

Enterprise Security API

Slide 26

Slide 26 text

implementada por várias linguagens biblioteca free e open-source aplicações já existentes

Slide 27

Slide 27 text

Broken Web Applications Project

Slide 28

Slide 28 text

testar ferramentas observar um ataque aprender mais sobre segurança

Slide 29

Slide 29 text

Riscos

Slide 30

Slide 30 text

risco = probabilidade * impacto

Slide 31

Slide 31 text

a vulnerabilidade envolvida o impacto desta vulnerabilidade o !po de ataque que será u!lizado + +

Slide 32

Slide 32 text

Top risks

Slide 33

Slide 33 text

Denial of Service

Slide 34

Slide 34 text

DDOS

Slide 35

Slide 35 text

Cross-Site Scripting

Slide 36

Slide 36 text

– Hater do Slack “Implemente Content Security Policy, é o mínimo a ser feito.” content-security-policy.com

Slide 37

Slide 37 text

– Hater do W3Schools “Nunca u!lize o eval().” stackoverﬂow.com/a/198031

Slide 38

Slide 38 text

Insecure DOR

Slide 39

Slide 39 text

h"ps:/ /minha-app.com/user/123 { "id": 123, "name": "Michael Douglas", "credit-card": "999-999-999-00" }

Slide 40

Slide 40 text

h"ps:/ /minha-app.com/user/456 { "id": 456, "name": "Chuck Norris", "credit-card": "666-666-666-00" }

Slide 41

Slide 41 text

h"ps:/ /minha-app.com/sytem/logs { "timestamp": "1499136425847", "user_id": 007, "user_name": "Admin", "logs": [] }

Slide 42

Slide 42 text

Cross-Site Request Forgery

Slide 43

Slide 43 text

h"p:/ /banco.com.br { "username": "chuck_norris", "password": "f4ck1n9" }

Slide 44

Slide 44 text

cookie contendo a sessão { "session_id": "1F9fNJIKSAGF" }

Slide 45

Slide 45 text

h"p:/ /banco.com.br/transfer { "conta_destino": 1234, "valor": "30.00", "session_id": "1F9fNJIKSAGF" }

Slide 46

Slide 46 text

h"p:/ /banco.com.br/transfer { "conta_destino": 5678, "valor": "30.00", "session_id": "1F9fNJIKSAGF" }

Slide 47

Slide 47 text

– Hater do Tableless “Valide os recursos veriﬁcando se o header Referer é igual a sua origem.” OWASP - CSRF

Slide 48

Slide 48 text

Insecure Components

Slide 49

Slide 49 text

– Hater do Javascript “U!lize scanners para dependências desatualizadas ou não u!lizadas.”

Slide 50

Slide 50 text

npm-check

Slide 51

Slide 51 text

nodesecurity.io

Slide 52

Slide 52 text

Top 3 risks

Slide 53

Slide 53 text

2010 SQL Injec!on Cross-Site Request Forgery (CSRF) Cross-Site Scrip!ng (XSS) 1 2 3

Slide 54

Slide 54 text

2013 SQL Injec!on Cross-Site Scrip!ng (XSS) Broken Authen!ca!on 1 2 3

Slide 55

Slide 55 text

2017 SQL Injec!on Cross-Site Scrip!ng (XSS) Broken Authen!ca!on 1 2 3

Slide 56

Slide 56 text

– Hater do Reddit “Grande parte dos riscos possuem um impacto moderado e são simples de serem detectados e explorados.”