Vulnerabilidades em aplicações: como evitar falhas de código e riscos de segurança

O que é uma vulnerabilidade em uma aplicação?

O custo médio de uma violação de dados em 2020 foi de US$ 3,86 milhões, e impressionantes 82% das vulnerabilidades conhecidas estavam no código das aplicações. Boas práticas de programação segura, combinadas com soluções de segurança de aplicações, podem ajudar a reduzir o risco de vulnerabilidades no código da sua aplicação.

Segurança de software x segurança de aplicações

A segurança de software trata da proteção da lógica programática fundamental do software. Diferentemente da segurança de aplicações, ela se concentra nas etapas iniciais do ciclo de vida do desenvolvimento de software (SDLC) e no código subjacente de uma aplicação.

Quando o software se torna um artefato pronto para implantação, como um JAR ou uma imagem de contêiner, ele passa a fazer parte do escopo da segurança de aplicações. Nessas etapas do SDLC, o foco vai além do software: abrange vários sistemas interconectados, a infraestrutura e os caminhos de rede envolvidos na disponibilização do software em produção. Em geral, profissionais com foco em operações, como engenheiros de DevOps, assumem um papel mais ativo na proteção da aplicação.

Investir nas etapas iniciais do SDLC traz benefícios para os esforços de segurança de aplicações. É muito mais fácil proteger uma aplicação com menos defeitos e vulnerabilidades. Vulnerabilidades no código colocam as equipes de operações e os engenheiros de segurança na defensiva, em vez de permitir que resolvam esses problemas de forma proativa desde o início.

A importância da segurança de aplicações

A segurança de aplicações exige uma abordagem proativa em cada ciclo de build e lançamento e, muitas vezes, depende da automação para identificar ameaças. Engenheiros de DevOps costumam aplicar boas práticas de segurança de aplicações com diferentes ferramentas e métodos em cada etapa do ciclo de build, teste e lançamento.

À medida que os processos de CI/CD se tornam mais comuns nas organizações, cresce a demanda por soluções de segurança de aplicações. O relatório State of Cloud Native Application Security de 2021 mostra como a adoção da nuvem nativa muda a forma como as organizações se defendem contra vulnerabilidades em aplicações. Configurações incorretas e vulnerabilidades de segurança conhecidas sem correção foram responsáveis pelo maior número de incidentes de segurança. Com a estratégia certa de segurança de aplicações, todos esses problemas podem ser evitados.

Felizmente, as ferramentas de segurança de aplicações ajudam a procurar vulnerabilidades conhecidas e classificar os resultados, reduzindo a dependência do trabalho manual dos desenvolvedores. Elas também identificam tendências e padrões e ajudam os desenvolvedores a testar erros no código durante as etapas de build e lançamento do SDLC.

Como novas vulnerabilidades surgem o tempo todo e revisões manuais de código e outros métodos tradicionais de teste exigem muito tempo, as ferramentas automatizadas de segurança oferecem inúmeras vantagens.

As 10 principais vulnerabilidades em aplicações

Conhecer a lista OWASP Top 10 de vulnerabilidades pode ajudar as equipes de desenvolvimento a reduzir o risco de vulnerabilidades em aplicações. A versão mais recente da lista OWASP Top 10 foi publicada em 2021.

Estas são as 10 principais vulnerabilidades em aplicações da lista de 2017:

1. Injeção: vulnerabilidades de injeção podem ocorrer quando uma consulta ou comando insere dados não confiáveis no interpretador por meio de injeção de SQL, sistema operacional, NoSQL ou LDAP. Os dados maliciosos inseridos por esse vetor de ataque enganam o interpretador e fazem a aplicação executar algo para o qual não foi projetada.

2. Falhas de autenticação: quando aplicações executam incorretamente funções relacionadas ao gerenciamento de sessões ou à autenticação de usuários, invasores podem comprometer senhas, chaves de segurança ou tokens de sessão e assumir, temporária ou permanentemente, a identidade e as permissões de outros usuários.

3. Exposição de dados sensíveis: sem medidas essenciais de proteção de dados, como a criptografia de dados em trânsito ou em repouso, invasores podem visualizar, roubar ou modificar dados sensíveis ou informações de identificação pessoal (PII), como credenciais, números de cartão de crédito ou de documentos de identidade e informações médicas. Dados sem criptografia são alvos preferenciais de ataques prejudiciais relacionados a roubo de identidade, fraude e espionagem industrial, entre outros exemplos de vulnerabilidades de segurança.

4. Entidades externas XML (XXE): em aplicações web que analisam entradas XML, um analisador XML mal configurado pode ser induzido a enviar dados sensíveis a uma entidade externa não autorizada, como um dispositivo de armazenamento, por exemplo, um disco rígido. Hackers usam ataques XXE para visualizar informações críticas, expor arquivos internos e compartilhamentos de arquivos, verificar portas internas, executar código remotamente e realizar ataques de negação de serviço (DoS).

5. Falhas no controle de acesso: falhas no controle de acesso podem permitir que visitantes de um site acessem painéis de administração, servidores, bancos de dados e outras aplicações essenciais para os negócios. Essa ameaça do OWASP Top 10 pode ser usada para redirecionar navegadores para outras URLs visadas.

6. Configurações de segurança incorretas: segundo o Gartner, até 95% das violações na nuvem são resultado de erros humanos. Configurações incorretas de segurança estão entre os principais fatores por trás desse dado. Entre as vulnerabilidades do OWASP Top 10, esta é a mais comum.

7. Cross-site scripting (XSS): o cross-site scripting é uma vulnerabilidade generalizada que afeta mais da metade de todas as aplicações web. Ela ocorre quando scripts JavaScript ou HTML maliciosos do lado do cliente são injetados em uma página web e usam a aplicação como vetor de ataque para sequestrar sessões de usuários, desfigurar sites ou redirecionar a vítima para sites controlados pelo invasor.

8. Deserialização insegura: a deserialização insegura oferece aos hackers um vetor de ataque geralmente usado para execução remota de código, mas que também pode ser empregado em ataques de injeção, repetição e elevação de privilégios.

9. Uso de componentes com vulnerabilidades conhecidas: aplicações web distribuídas modernas incorporam componentes de código aberto, incluindo bibliotecas e frameworks. Qualquer componente com uma vulnerabilidade conhecida se torna um elo fraco que pode afetar a segurança de toda a aplicação.

10. Registro e monitoramento insuficientes: o intervalo entre um ataque e sua detecção pode chegar a 200 dias ou até mais. Esse período dá aos criminosos cibernéticos bastante tempo para adulterar servidores, corromper bancos de dados, roubar informações confidenciais e instalar código malicioso, caso não haja registro e monitoramento suficientes.

Ferramentas de segurança para vulnerabilidades em aplicações

Embora a programação segura seja sempre o objetivo, alguma vulnerabilidade no código acaba passando despercebida. É aí que entram ferramentas como o teste estático de segurança de aplicações (SAST) e o teste dinâmico de segurança de aplicações (DAST). Talvez você queira saber quais são as diferenças entre SAST e DAST ou como combinar os dois. Ambas as soluções usam testes automatizados para encontrar pontos fracos no código-fonte que agentes mal-intencionados, mais cedo ou mais tarde, tentarão encontrar e explorar.

• Teste estático de segurança de aplicações (SAST): o SAST é um teste estrutural que avalia uma ampla variedade de entradas estáticas, incluindo documentação e código-fonte de aplicações. As ferramentas de SAST analisam o código-fonte e as dependências. Durante a análise, a ferramenta usa regras predefinidas para detectar problemas e vulnerabilidades e indicar sua localização exata.

• Teste dinâmico de segurança de aplicações (DAST): abordagem oposta ao SAST, o DAST é um teste de caixa-preta realizado enquanto a aplicação está em execução. Essas ferramentas partem do princípio de que quem testa não tem conhecimento aprofundado do funcionamento interno do sistema. As ferramentas de DAST analisam o código em execução para identificar problemas em solicitações, respostas, interfaces, scripts, injeções, autenticação e sessões, usando uma técnica chamada fuzzing.

A melhor solução é combinar SAST e DAST com outras abordagens de segurança de aplicações, incluindo:

• Análise de composição de software (SCA): também conhecida como análise de origem, esse método ajuda a analisar todos os componentes e bibliotecas de software de código aberto. Essas ferramentas detectam licenças de software, dependências obsoletas e vulnerabilidades conhecidas, além de avisar você sobre correções ou atualizações disponíveis.

Saiba mais sobre SAST e SCA e como usar essas abordagens para lançar software seguro.

• Teste interativo de segurança de aplicações (IAST): essas ferramentas combinam abordagens estáticas e dinâmicas, testando o fluxo da aplicação e dos dados com casos de teste predefinidos. Com base nos resultados, a ferramenta pode recomendar outros casos de teste.

• Teste de segurança de aplicações como serviço (ASTaaS): consiste em contratar uma empresa externa para realizar todos os testes de aplicações. O ASTaaS geralmente combina métodos de segurança estáticos e dinâmicos, incluindo testes de invasão e avaliação de APIs.

Como evitar vulnerabilidades de segurança em aplicações

Uma estratégia eficaz de DevSecOps pode ajudar a reduzir o risco de vulnerabilidades em aplicações. O ideal é dar aos desenvolvedores condições para integrar a segurança aos fluxos de trabalho de desenvolvimento existentes sem atritos — com o apoio da equipe de segurança. O uso de ferramentas automatizadas de segurança pode aliviar a carga dos desenvolvedores e evitar que vulnerabilidades no código passem despercebidas.