Site Blindado

Cada vez ouvimos mais sobre vulnerabilidades em aplicações web, envolvendo os riscos de roubos de informações, propriedades intelectuais e outros problemas frequentemente causados por sites de empresas que descuidam da segurança.

Por isso, torna-se cada vez mais urgente que os sites conheçam as principais falhas de segurança em aplicações web e, principalmente, como se proteger delas.

Embora as empresas brasileiras mantenham o ataque cibernético apenas em 23° lugar de sua lista de preocupações, conforme uma pesquisa promovida pelo World Economic Forum (WEF), empresas dos EUA tratam este fator como a principal preocupação. E a tendência é que, a medida que a cultura digital amplie por aqui e o usuário ganhe maturidade sobre os riscos de falhas nos processos de troca e armazenagem de suas informações, essa preocupação com a cibersegurança da empresa também se integre mais à nossa cultura.

 

17 vulnerabilidades em aplicações web

 

De olho nos problemas mais comuns de segurança, listamos algumas formas que ajudam a identificar vulnerabilidades em aplicações web e sinalizam que é hora de agir para diminuir riscos de ser invadido e ter suas informações violadas por alguém mal-intencionado. Veja abaixo o que verificar para fortalecer a segurança de suas aplicações:

1. Identifique as necessidades de investir em segurança desde o início, o que pode envolver uma equipe técnica, recursos de tempo e dinheiro — vale a pena essa precaução extra no início para evitar ter que remediar situações complexas mais para a frente;
2. Tenha a certeza de contar com boas arquiteturas lógicas na programação e desenvolvimento dos sistemas — alguns erros “bobos” podem criar facilidades para a ação de alguém mal-intencionado, por isso não deixe brechas;
3. Use boas práticas de codificação e, de preferência, siga um checklist que acompanhe a estruturação da aplicação etapa por etapa — o detalhe e atenção redobrada devem imperar nessa hora para evitar introduzir vulnerabilidades técnicas;
4. Seja cuidadoso também em manter softwares atualizados e fazer a manutenção adequada deles — isso, claro, com cuidado para evitar falhas que comprometam a segurança da aplicação;
5. Esteja atento na validação de entrada e na codificação de saída de dados, usando sistemas confiáveis como a centralização do controle no servidor e o uso de boas práticas de validação e codificação;
6. Não deixe de criar autenticação para todas as páginas que transitarem informações privadas;
7. Só transite informações confidenciais através de conexões criptografadas (SSL/TLS) e previna a reutilização de senhas;
8. Tenha atenção ao gerenciamento de sessão com controles baseados no servidor ou framework e, entre outros, o encerramento correto de sessão e bloqueio de tentativas de conexões simultâneas com o mesmo identificador de usuário;
9. Observe bem os controles de acesso à aplicação, com restrições e negações para usuários não autorizados;
10. Adote uma boa criptografia, que ofereça uma “chave” de proteção altamente segura para garantir que mesmo que os dados sejam obtidos por alguém mal-intencionado, essa pessoa não consiga interpretá-los;
11. Cuidado com o tratamento de erros e logs para não deixar vulnerabilidades;
12. Proteja bem todos os dados, praticando uma política de privilégio mínimo, ou seja, usuários poderão acessar apenas funções específicas de acordo com o que necessitam;
13. Utilize TLS na transmissão de todas as informações sensíveis;
14. Garanta que os frameworks, servidores e componentes do seu sistema estejam usando patches e versões recentes, além de validar outros aspectos de segurança de configuração do sistema;
15. Cuide bem da sua base de dados e não deixe de usar consultas parametrizadas e fortemente tipadas;
16. Esteja atento ao gerenciamento de arquivo, solicitando autenticação para uploads e mesmo limitando os tipos de arquivos ao propósito do negócio;
17. Prefira adotar códigos testados e aprovados para tarefas comuns e restrinja as alterações de código pelos usuários: um código mal implementado pode ter falhas que facilitam o acesso de atacantes.

“Apagar o fogo” ou evitar que ele surja?

 

Para não viver apenas tendo que “apagar o fogo” quando precisa, o ideal é que a empresa fortaleça o sistema antecipadamente, quer seja contratando serviços de consultoria de segurança, pentest ou, claro, tendo o mínimo de segurança no site que é a criptografia das informações (por meio do SSL). É sempre válido reforçar que ataques surgem da combinação de diversos fatores: um agente de ameaça, que é alguém mal-intencionado, interagindo com um sistema, que pode ser o de qualquer um de nós, e que pode haver uma vulnerabilidade de segurança, uma fragilidade que facilite a ação do criminoso que poderá explorar essa brecha e causar um impacto negativo para a vítima.

De certa forma, há várias analogias possíveis com os crimes cometidos offline e o que pode destoar em alguns casos é que as pessoas estão muito mais preparadas para entender que é preciso colocar uma fechadura que tranque bem as portas de sua casa ou empresa, mas poucos entendem que sites requerem igualmente esses obstáculos para que as pessoas mal-intencionadas não encontrem as portas abertas para roubar as informações que desejam.

Por isso, o melhor é compreender a importância de gerir bem a segurança de suas aplicações, os riscos que o descaso com ela poderá oferecer, e começar a trabalhar duro para resolver as vulnerabilidades em aplicações web, “tapando” as brechas do site que poderiam facilitar o acesso de gente que não deveria entrar ali!

 

 

aplicações web, como identificar falhas, segurança da informação, segurança para site, vulnerabilidades

By Audrey Bertho

---