Segurança de aplicações web: riscos e 9 práticas recomendadas

Com a conveniência e o acesso remoto se tornando essenciais para funcionários e consumidores em todo o mundo, a demanda por aplicações web também cresceu. Os apps web oferecem as mesmas funcionalidades que aplicações para desktop ou nativas, com a conveniência de serem acessados pelo navegador. Também são mais fáceis de disponibilizar em diferentes plataformas, ampliando a capacidade das organizações de conquistar um público maior. Infelizmente, os apps web também criam portas de entrada para que invasores ataquem bancos de dados e sistemas dos clientes.

Por causa dos riscos de segurança inerentes aos apps baseados em navegador — além dos avanços nos métodos de desenvolvimento e implantação —, os desenvolvedores têm hoje mais responsabilidade por proteger o código das novas aplicações web que lançam. Muitos já adotaram uma postura de “segurança pela obscuridade”: acreditavam que hackers não investigariam a fundo o suficiente para explorar vulnerabilidades no código. Isso se mostrou um erro. Agora, é essencial que os desenvolvedores mudem essa mentalidade e assumam a responsabilidade por proteger as aplicações antes de lançá-las, usando soluções de segurança de aplicações para ajudar a encontrar e corrigir vulnerabilidades.

Os principais riscos de segurança de aplicações web

O Open Web Application Security Project (OWASP) é uma organização sem fins lucrativos do setor dedicada a promover a segurança na web. A cada poucos anos, ela publica uma lista atualizada das 10 principais vulnerabilidades de aplicações web.

Em 2021, a lista incluía:

1. Falhas no controle de acesso — presentes em quase uma a cada 25 aplicações testadas pela OWASP.

2. Falhas criptográficas — uma das principais causas da exposição de dados confidenciais.

3. Injeção — invasores inserem código malicioso em consultas SQL ou comandos.

4. Design inseguro — controles mal projetados ou inexistentes, como mensagens de erro que contêm dados confidenciais.

5. Configuração incorreta de segurança — um risco crescente com a adoção de softwares altamente configuráveis.

6. Componentes vulneráveis e desatualizados — exigem ferramentas e processos avançados, capazes de analisar componentes durante o desenvolvimento e em ambientes de produção.

7. Falhas de identificação e autenticação — caíram da segunda posição na lista das 10 principais de 2017, mas continuam sendo um vetor de ataque comum.

8. Falhas de integridade de software e dados — categoria nova na lista de 2021, relacionada a códigos ou infraestruturas introduzidos sem verificação de integridade.

9. Falhas de registro e monitoramento de segurança — são difíceis de testar, mas essenciais para detectar violações.

10. Falsificação de solicitação do lado do servidor — falha pouco frequente, mas de alta gravidade, em que invasores sequestram solicitações de URL para contornar controles de acesso à rede.

Para uma análise aprofundada dessas vulnerabilidades e de como corrigi-las, confira nossa análise do OWASP Top 10.

9 práticas recomendadas para proteger seu app web

1. Antecipe a segurança no ciclo de desenvolvimento

2. Injeção e validação de entradas

3. Gerenciamento da autenticação de usuários

4. Criptografia de dados

5. Encontrar e corrigir configurações incorretas

6. Registro de logs e auditoria

7. Firewalls de aplicações web (WAF)

8. Testes de segurança no CI/CD

9. Autorização

1. Antecipe a segurança no ciclo de desenvolvimento

Antecipar a segurança substitui processos e ferramentas legados, criados para o modelo de lançamento em cascata, ao incorporar a segurança o mais cedo possível no ciclo de vida do desenvolvimento de software (SDLC). As práticas a seguir ajudam nessa mudança:

• Usar modelagem de ameaças

• Incorporar considerações de segurança ao design e à arquitetura do código

• Testar o código durante a escrita, em vez de esperar até que as aplicações estejam em produção

2. Injeção e validação de entradas

Injeção é uma categoria de métodos de ataque em que códigos maliciosos são inseridos em navegadores ou outros pontos de entrada. Dois exemplos são a injeção de SQL e o cross-site scripting, que usam, respectivamente, código SQL malicioso e scripts maliciosos nas interfaces de sites. Para se proteger contra ataques de injeção, use métodos de validação de entradas para garantir que apenas dados no formato correto sejam aceitos e impedir que códigos maliciosos entrem no sistema.

3. Gerenciamento da autenticação de usuários

Com “Falhas de identificação e autenticação” na sétima posição da lista das 10 principais da OWASP de 2021, a autenticação de usuários é um aspecto importante da segurança web. O gerenciamento da autenticação de usuários ajuda a fortalecer nomes de usuário e senhas e oferece aos administradores de segurança várias opções para garantir que apenas pessoas autorizadas acessem os apps. A autenticação multifator é uma dessas opções e exige que os usuários comprovem sua identidade usando pelo menos dois tipos de autenticação.

4. Criptografia de dados

Falhas relacionadas à criptografia — ou à falta dela — podem levar à exposição de informações confidenciais, o que coloca a criptografia na segunda posição das 10 principais da OWASP. Criptografar dados em repouso e em trânsito é uma proteção essencial em caso de violação. Os próprios algoritmos de criptografia geralmente estão disponíveis em pacotes de código aberto e são desenvolvidos por especialistas em criptografia. Na prática, criptografar significa aplicar controles e padrões, como criptografar todo o tráfego interno e externo, usar algoritmos atualizados e exigir o uso da criptografia.

5. Encontrar e corrigir configurações incorretas

Configurações incorretas — como não aplicar o princípio do menor privilégio — facilitam o acesso de terceiros a dados confidenciais. A maioria delas ocorre por erro humano; por isso, usar infraestrutura como código (IaC) e automação pode ajudar a evitá-las. Além disso, ferramentas de análise como Snyk IaC podem detectar e corrigir configurações incorretas antes que cheguem à produção.

6. Registro de logs e auditoria

Essa prática aborda o item número nove da lista das 10 principais da OWASP: falhas de registro e monitoramento de segurança. Há poucos dados diretos que demonstrem como logs e auditorias podem evitar violações, mas detectar e lidar com elas é indispensável. Essa categoria inclui registrar eventos como logins e transações importantes, monitorar logs em busca de atividades incomuns e criar alertas automáticos ou medidas de correção para quando um comportamento suspeito for detectado.

7. Firewalls de aplicações web

Um firewall de aplicações web (WAF) fica entre os clientes e os servidores web e atua como proxy para o tráfego entre eles. Com regras configuradas no WAF, você pode proteger uma aplicação web ou um conjunto de aplicações contra ataques comuns, como os de injeção.

8. Testes de segurança no CI/CD

Esperar até o fim dos pipelines de CI/CD para executar testes de segurança — ou, pior ainda, até as aplicações web estarem em produção — resulta em correções caras e demoradas. Ao integrar os testes de segurança ao CI/CD, você economiza tempo e dinheiro e evita frustrações para sua equipe. As ferramentas de automação permitem fazer isso com o mínimo de impacto nos fluxos de trabalho dos desenvolvedores.

9. Autorização

A execução de processos de autorização evita a elevação de privilégios, um tipo de ataque em que um usuário acessa uma aplicação e altera os próprios privilégios ou função para ampliar o acesso. Testes de invasão podem revelar a elevação de privilégios; executar aplicações com o mínimo de privilégios ajuda a mitigá-la, e configurar corretamente as chaves de autenticação ajuda a evitá-la.

Ferramentas para testar a segurança de aplicações web

Vamos apresentar brevemente as ferramentas que ajudam desenvolvedores a avaliar e corrigir problemas de segurança em aplicações web.

SAST

Ferramentas de teste estático de segurança de aplicações (SAST), como Snyk Code, analisam o código com base em práticas recomendadas predefinidas para identificar padrões problemáticos. O SAST depende da linguagem de programação que você usa.

DAST

O teste dinâmico de segurança de aplicações (DAST) analisa aplicações durante a execução e não depende de uma linguagem específica.

Para saber mais sobre as diferenças entre SAST e DAST, leia nossa publicação no blog.

SCA

Ferramentas de análise de composição de software (SCA), como Snyk Open Source, analisam dependências de código de terceiros em aplicações web. Como o desenvolvimento de aplicações modernas se caracteriza pelo uso intenso de bibliotecas de código aberto, o SCA é uma ferramenta eficaz no arsenal de uma equipe de segurança.

Testes de invasão

O teste de invasão, realizado por hackers éticos, busca descobrir e corrigir vetores de ataque que possam ser usados para violar uma aplicação web. Algumas regulamentações, como a PCI DSS, exigem testes de invasão regulares, e eles são altamente recomendados para todos os apps web.

RASP

A autoproteção de aplicações em tempo de execução (RASP) é uma tecnologia integrada às aplicações que monitora o comportamento delas e verifica se está de acordo com o esperado. Ela complementa tecnologias de perímetro, como WAFs, mas pode não detectar certos métodos de ataque baseados em autenticação ou autorização. Para ser totalmente eficaz, o RASP deve ser usado junto com outras ferramentas, como SAST e SCA.

Como a Snyk ajuda você a desenvolver aplicações web seguras

A plataforma de segurança para desenvolvedores da Snyk reúne as ferramentas Snyk Open Source, Snyk Code, Snyk Container e Snyk IaC em uma única plataforma. Desenvolvedores de aplicações web podem usar a Snyk nos fluxos de trabalho que já utilizam para analisar códigos e componentes de código aberto em busca de vulnerabilidades ou configurações incorretas. Nossa abrangente base de dados de inteligência sobre vulnerabilidades é organizada por especialistas em segurança da Snyk e é a mais completa do mercado.

Para saber mais sobre segurança de aplicações web, confira estes artigos:

Segurança de aplicações: ferramentas e tendências para 2023

Testes de segurança de aplicações: principais dúvidas respondidas | Snyk

Avaliação da segurança de aplicações: 5 etapas essenciais | Snyk

Perguntas frequentes sobre segurança de aplicações web