Page 20 - newDATAmagazine | 14>06>2022

Em suma, qualquer dado ou software em que Esta é uma categoria completamente nova
a integridade não seja devidamente verificada
e validada faz parte desta nova categoria.
A categoria de “Falhas na Monitorização e
Registos de Segurança” designava-se
anteriormente por “Monitorização e Registos
de Segurança Insuficientes”.
Esta categoria ganhou alguma importância
na nova lista, tendo subido uma posição por
comparação com a versão anterior. Ataques a
aplicações acontecem diariamente e a
capacidade de os registar e monitorizar é
crucial. Se estas aplicações não forem
devidamente controladas e monitorizadas, as
violações de segurança podem nunca ser
detetadas. Estes registos de segurança devem
ser legíveis e monitorizados e não apenas
armazenados. Por outro lado, estes registos e
processos de monitorização devem ser
usados para alertar para possíveis problemas
de segurança e, se possível, em tempo real. De
igual forma, tais registos são igualmente
cruciais durante as investigações a incidentes
de segurança.
Finalmente, temos a categoria de
“Falsificação de Pedidos do Lado do Servidor”.
20 newDATAmagazine.com
do OWASP Top 10 e integra vulnerabilidades
que ocorrem quando um servidor realiza um
pedido usando um endereço (URL) que é
fornecido por um utilizador, sem que o mesmo
seja apropriadamente verificado. Desta forma,
é possível a um atacante realizar pedidos
internos, efetuar análises a portos, ultrapassar
firewalls ou outros tipos de controlos de
acesso. Assim, é importante considerar este
risco, prevenindo o desenvolvimento de
aplicações vulneráveis, que permitam que um
atacante possa tirar proveito das mesmas,
para lançar ataques contra a organização que
as desenvolveu e/ou disponibilizou. Um
recente exemplo de um problema de
segurança que está relacionado com esta
categoria de riscos em conjunto com a
“Injeção” é o Log4Shell.
O OWASP Top 10 aborda, assim, um
conjunto de categorias de riscos que refletem
as principais preocupações de segurança que
devem ser endereçadas pelos programadores
e pelas organizações no que respeita ao
desenvolvimento, instalação e exploração de
aplicações web seguras.