Webinar – OWASP Top 10: Do Noção à Prática (com Christian Souza)

Você sabe o que está no top 10 OWASP? Se você trabalha na espaço de programação e desenvolvimento seguro, é muito provável que…

01:12:20
Você sabe o que está no top 10 OWASP? Se você trabalha na espaço de programação e desenvolvimento seguro, é muito provável que…

E aí [Música] oi oi pessoal boa tarde Oi boa tarde Emerson Boa tarde da IL eu já estou compartilhando aqui minha tela eles conseguem visualizar E aí do jeito que sim é boa tarde a todos novamente meu nome é Cristian Souza vou estar apresentando esse webnar sobre o hospital que tem então nós vamos falar sobre a nova versão da USP que saiu recentemente de forma oficial e vamos aí desde conceitos até a prática eu gostaria que vocês falassem aí sobre vocês De onde vocês são se trabalham na área se já conhece Esse é um pouquinho aí sobre o aspe E aí E aí Oi boa tarde pessoal São Paulo bom então vamos lá dar um start aqui a Universal aí é aprendizado sobre questão do ask muito bom a gente sempre se qualificando atualizando reciclando as minhas conhecimentos os ataques Eles vão mudando a prioridade deles são definidos ali na lógico também muda e o dáil aí alunos da pós de saber se aquilo se a Darius Oi boa tarde a todos bom ter vocês por aqui é então vou me apresentar um pouquinho meu nome é Cristian Souza atualmente sou consultor de saiba segurança na daryus consultoria atua principalmente com a área de pentest ou seja teste de intrusão análise de vulnerabilidades análise e prevenção de ameaças e fraudes cibernéticas Hard a gente sistemas Windows e Linux é um ato ali também na área de glúteo atua nas duas áreas aí que não tinha o Red Team e a Além disso é também trabalhamos aí bastante uma questão de análise de logs campanha anti-phishing entre outros quem aí trabalha com consultoria sabe que comumente a gente tem diferença demandas todos os dias então toda semana agente atua com a área diferente deve deixar de uma segurança O que é muito bom além de consultor sou professor também nos cursos do idesp nas áreas a gente vai application Security gente vai falar um pouquinho dele sobre no final no final da Live sei que o problema em fondation é de qual recaem fundation o pessoas inteligentes os 20 além de segurança de aplicações e desenvolvimento seguro começou o pesquisador em segurança da informação e mantém alguns projetos open-source todos focados também na parte de segurança cibernética Além disso tem algumas certificações é de qual é que o fundo deixou ser problema fondation certificações elidayse Linux Plus da competia elp1 do Linux professional institute Então quem quiser mais informações e contato link vai para LinkedIn e-mail podem acessar e o meu site também deixa a porta sh vocês vão ter mais informações gerente alguma dúvida também é por meio de algum desses dentes que tem lá no site fiquem à vontade e vamos direto ao ponto é começar aí falando um pouquinho sobre o que é o ASP então muita gente acaba se confundindo do que é o as top ten e o que é o ASP ao as pense a organização internacional sem fins lucrativos e o foco dela é justamente na segurança de aplicações não necessariamente aplicações web mais segurança de software como um todo então um dos objetivos dela é da visibilidade a necessidade de segurança em aplicações web além de melhorar a segurança Geral de sofre então vocês vão ver que essas funcionalidades que a gente tem ali na o ácido tem essas poder habilidades elas são agnósticos de tecnologia então é a mesma habilidade que você encontra uma aplicação dot net você vai encontrar uma aplicação escrito em Java e PHP etc e a Além disso ao assim se ela é dividida em capítulos é por cidades países regiões e qualquer pessoa pode participar e colaborar com os projetos Então realmente uma comunidade é totalmente aberta pessoal desenvolve inúmeros projetos nós temos alguns projetos inclusive são Flex chips e são os projetos que tem alto valor estratégico para a organização é o ASP e para segurança de aplicações como um todo bom então então a princípio é bem aberta qualquer pessoa pode sugerir alterações além dos documentos colocar um commit com alguma alteração e isso vai passar por uma revisão da lógico por parte de alguns especialistas antes de se tornar um um documento ou parte de um documento que é um padrão Internacional e da Indústria me fala um pouquinho sobre o top ten então entre os diferentes projetos e documentos da USP é o acho que tem ali documentações além de projetos de código mesmo além de programas offers que a gente pode utilizar mais famosos eles são o WhatsApp ou haste dependency-check Então são projetos de desenvolvimento mesmo mas Além disso eu acho que também fornece números documentos um deles sem dúvidas mais conhecido mais famoso é o top ten é o documento feito por expert em segurança de todo mundo e ele lista o objetivo dele ela está os Dez riscos mais críticos de segurança em aplicações web lembre-se de que são apenas os 10 mais críticos não todos então o pessoal da USP de 3 em 3 anos mais ou menos se revisa esse documento e pode adicionar um novo tipo de ataque ali e remover outros mas não significa que os que foram removidos deixaram de existir ele só se tornaram menos comuns no período de análise deles então a gente teve aí é o ácido 2017 que estava em vigor até esse ano e agora a gente já tem o 2021 e removeu algumas alguns ataques é meu g ou alguns deles também e adicionou ataques novos bom então esses riscos eles são definidos em ordem de importância então primeiro risco categorizado aqui no assunto acaba representando o risco mais crítico que eles identificaram e mais prevalente nas aplicações antes de tudo vamos falar um pouquinho sobre o que mudou da versão anterior para versão nova é como vocês podem ver finalmente o a um mudou então é desde as primeiras versões do ácido e falei de injeção elas estavam sempre ali ocupando as primeiras posições de 2013 para 2017 acabou ocupando a primeira também então ataques de injeção eram muito prevalentes ainda continuam sendo muito prevalente tanto é que caiu do top três então a terceira fase é mais prevalente de aplicações web Isso mostra que o esforço é que nós analista de segurança Consultores segurança é pessoal que trabalha com desenvolvimento e segura os nossos esforços Estão valendo a pena e o pessoal esse provedores realmente estão tendo noção dessas fases e corrigindo elas em ambiente de produção bom então outra falha que também acabou caindo disposição foi um Broken authentication caiu aqui para o tópico a 7 identifiquei chão authentication renders Oi boa tarde aí para quem tá chegando tô olhando aqui o cheque vocês puderem falar aí De onde vocês são se já conhece ao aço e com que trabalham E além disso é uma coisa que chamou bastante atenção de todo mundo o antes de irmos esse defeito é que Esponja acabou subindo também uma posição ficou o link ortográfico e fez e outro ponto também é importante bronca access control acabou subindo para a primeira posição porque naquele vendas da 5ª posição da primeira está bem intuitivo da gente entender é falhas aí principalmente envolvendo apis estão em evidência ultimamente a países põe bem mais Independentes públicos do que aplicações web comum então muitas vezes desenvolvedores acabam esquecendo de configurar os corretos mecanismos de controle de acesso e autorização é em algumas voltas de ap isso acaba causando bastante vazamento de dados também porque atacantes conseguem acessar áreas do sistema onde eles vão de a visualizar dados que não deveriam às vezes até um e de ponte de abrir público e tem ali e listagem de usuários por exemplo em testes é aqui na dali a gente pega muito isso o e acabou expondo ali presenciais ou e-mails dos usuários bom então principalmente com essa questão de vazamento de dados e apis é bloquear que você encontrou acabou indo pela primeira posição foi a mudança bem drástica foi do Top 5 para o top 1 E além disso xm-l external entities famoso ataque XR eles acabaram unindo esse ataque na área de Security misconfiguration o que faz bastante sentido porque as falhas de x é ela se devem amar a configuração ali de bibliotecas e parcerias dxml então acaba que realmente é uma área é faz sentido ser mediado aqui em Secret misconfiguration vocês podem até se perguntar então por que que esse tópico estava em destaque no bosque 2017 pessoal através de vários estudos nesse ano constataram que o pessoal tava explorando muito XX é em aplicações web no ano de 2017 porém foi apenas um pico é passageiro hoje em dia esse ataque tá menos comum tanto aqueles mediaram aqui não faz mais parte de um tópico específico ah e também as bibliotecas que estavam vulneráveis a esse tipo de ataque foram corrigidas e outro tópico também que favoreceu essa queda e união contra a categoria É que muita gente já está migrando para outro tipo de formato como Jackson por exemplo é o pessoal está migrando bastante dxml para Dias som acaba sendo um formato é melhor de você passear e visualizar também e outra coisa interessante aqui que mudou cross-site scripting subiu várias posições acabou sendo mediado também aqui no A3 de injection o que faz sentido também porque 1 x 1 x SS nada mais é do que injeção a questão é que ela acontece na hora que você insere o código não modificado diretamente no Browser do cliente então acaba sendo um tipo de injeção também Oi boa tarde Ricardo Rodrigo pessoal and directing São Paulo eu ficarei conhece utilizar o aspe Oi Carlos bom então Outro ponto interessante aqui de mudança foi a parte de inferior de ser realizei este ou seja das realizações segura foi adicionada é e um tópico específico chamado software and then drag fez o novo toque também e tem um contexto um pouquinho mais amplo do que apenas de esterilização de segura a gente vai ter isso daqui a pouco eu tenho relação Já vamos direto aqui para cada um dos ataques descritos aqui na o ASP começando logo por bloquetes control então muitas vezes desenvolvedores é acabam implementando rotina de controle de acesso de forma inadequada vou comentei é um problema muito recorrente em ati elas tende a expor muitos and Point e muitas vezes desenvolvedores esquecem de colocar ali por exemplo em Python decorator falando que por exemplo o login é necessário e mesmo assim muitas lápis ou essa quando mesmo quando faz essa questão de login pessoal acaba esquecendo de verificar êxitos de autorização ou seja Será que mesmo usuário logado ele pode acessar determinada rota o sistema ele tem que verificar isso muitas vezes o pessoal deixes passar em qual o impacto típicos não faz desbloquear que se encontrou muitas vezes pode acontecer vazamento de informações modificação e até mesmo a destruição de dados Além disso o atacante podem escalar privilégios que pode levar à descoberta de novas habilidades quem trabalha com pendente sabe que normalmente É principalmente em sites ali que só tem uma tela de login você só vai encontrar vulnerabilidades é após realizar esse processo de login então bloqueiem a gente se encontrou pode acabar levando esse tipo de problema também em alguns problemas comuns que levam a esse tipo de falha violação do princípio do privilégio mínimo ou menor privilégio como se escreve ter chamar e também A negação por padrão e são esses dois princípios menor privilégio estabelece que os usuários podem ter acesso os privilégios apenas para apenas para realizar as operações de vidas por Elisa Então nada mais do que isso os olhos não podem fazer mais coisas do que o necessário negação por padrão outro conceitos também muito importante onde você nega o acesso a qualquer objeto esse objeto pode ser uma url no arquivo e só vai permitir é realmente quando for necessário que o usuário tiver os devidos privilégios Além disso muitas aplicações não verificam alterações forçadas na na URL então muitas vezes você alterando a URL consegue ir para a página administrativas ou até mesmo visualizar conta de outros usuários que é um problema é também crítico em muitas aplicações permitem a visualização ou modificação de contas de outros usuários justamente por essa alteração forçada na URL esse também pode acontecer em pertence a gente também costuma verificar por esse tipo de falha e a gente constata aqui é bem recorrente E além disso referências diretas não seguras a objetos Esse é um típico caso que a gente pega também tem testes pesquisando utilizando técnicas de os 20 no próprio Google você acha bastante site que tem referência direta não segura objetos isso pode levar também a tentativa de exploração por SQL injection E além disso muitas apis não tem controle de acesso para métodos post antes da Elite então muita já fez acabam permitindo esses métodos aí é em várias funções não fazem devido controle de acesso o que pode ser crítico e muitos vai de serviço aí a gente vê de empresa que já tem uma maturidade alta segurança é o pessoal sempre deixa desabilitado aqui o plantio de Elite porque você não quer que pessoas a Vitória mente é coloquem o removam recursos ali dentro do seu olho super E além disso muitas vezes é possível adulterar token de acesso por exemplo jwt então Jackson leve tokens é tão sendo vetores de ataque muito comuns também então não quis aplicações elas codificam informações de forma inadequada nesse estou quem que pode ter permitir uma Depois de ficar são de antecipada é aberto a gente acaba conseguindo visualizar alguns dados a mais E além disso a utilização de cookies também é um problema Principalmente quando você não trafegue esses cookies de forma segura então atacante ele pode capturar esses cursos trafegando na rede injetar no seu próprio browser e roubar sua sessão E além disso configurações Kors incorretas também acabam causando bastante problema eu ligo daí falou construído deve e segurança ou é só eu acho que desde a versão 2007/2017 e o seu bastante aí como base para estudos muito bom é um exemplo aqui de bloquear que você encontrou então o atacante ele tenta acessar aqui um determinado site vulnerável porque o Adriele aqui é apenas como exemplo ele realiza o seu login código de retorno 200 então um ok deu tudo certo ali no login dele ouvir realizado com sucesso e aí o atacante ele tem a ideia Tá mas isso ao tentar acessar uma página de admin uma página que eu não deveria acessar uma página privilegiada de 80 aqui acessar por exemplo barra de mim. Jsp Java server pages e também recebe um 200 ao invés de retornar unforbidden então ele acaba recebendo acesso também essa parte do site parece um erro bobo mas muita gente ainda deixa esse tipo de coisa passar em ambiente de produção bom então caso não seja feito um correto controle de acesso o atacante consegue visualizar páginas sensíveis páginas que ele não deveria estar visualizando a outra sempre coloquei aqui para gente esse daqui o atacante ele percebe que a sua conta é referenciada na URL antiga referência direta a um objeto e aí ele tem a ideia de por exemplo implementar o número ou decrementar seja o que for para ver se ele consegue carregar a página de outro usuário caso o sistema não tenha feito também um correto controle de acesso ele acaba conseguindo visualizar dados de outros usuários isso aqui a gente também pega bastante se tratando e testes em up II e prevenções é para bloquear vocês control sempre negue o acesso por padrão é certo para recursos intencionalmente públicos minimiza o uso de cores ordem restaurantes share em seja Kors sempre verifique se o usuário é que está realizando determinada ação possui permissões para ler criar atualizar ou excluir esses registros que está tentando acessar e certifique-se de que arquivo de versionamento ou seja arquivos ali. G’ ET direto ao esse ponto it ou arquivo de backup não estão presentes na raiz do seu Website porque Imagine que você tem um diretório português e ali dentro do seu site o atacante se ele conseguir acessar um diretório de se pode ser crítico ele pode obter até mesmo o histórico de comics que você fez a língua ambiente então se tiver alguma senha rádio acordada e também lá na prática pode pode essa Cê pode acabar vazando bom então Além disso sempre registre falhas de controle de acesso e notifique os responsáveis não mexeram administrador sistemas utilizem mecanismos de rede limite ou seja limite as tentativas de acesso a atriz principalmente para minimizar os danos que ferramentas automatizadas podem causar nossas ferramentas automatizadas mais simples elas acabam verificando é esse tipo de recurso Além disso sempre valide aí diz conquistou quem sessão após o logout do usuário então certifique-se de que se está sendo executado ali no browser para não correr o risco de o atacante conseguir capturado injetar em outro navegador e roubar sessão do usuário Oi e a gente entra para o a dois ortográfico e fez é pessoal se vocês tiverem dúvidas podem colocando aí no cheque que a gente vai responder no e durante a Live é tão falha de criptografia envolvem aí a quebra do sigilo de dados seja eles em repouso ou em trânsito e o que é isso né dados em repouso são Dados armazenados ali no seu pai o System sistema de arquivos ou então é um banco de dados já dados em trânsito é são Dados onde realmente são está sendo enviados ali o cliente então dados que vão além das seu servidor para o cliente então vamos escolher o algoritmo fraco seja para criptografar arquivos armazenados em bancos de dados ou até mesmo é tipografia saliva de transporte como te lssl a escolha errada de algoritmos desses pode ser catastrófica E no caso do SL por exemplo atacante poderia até mesmo descriptografar o pacote e visualizar os dados ali em texto plano os problemas comuns que levam a esse tipo de exploração dados sendo trafegados e armazenados no texto plano tão quem nunca viu ali um banco de dados a senha sendo armazenadas em texto plano ou até mesmo em base64 o pessoal achando que estava criptografado mas na verdade faz minha parte é uma purificação E além disso o uso de protocolos inseguros tão http smtp FTP e outros sempre busque utilizar as versões seguras esse protocolo tão http https smps sftp a música algoritmos criptografia antigos ou fracos utilização de Chaves criptográficas fracas uso de protocolos Seguros não é forçado por padrão são muitas aplicações ainda sofre por isso não é muito comum nós como pessoal deinfra deixarmos ali no nosso observe a porta 80 e a porta 443 é abertas porque as alguém tente acessar pela porta 80 ele também consegue visualizar o site O que é o comportamento padrão de muitos navegadores é isso por padrão tenta o primeiro na porta 80 bom então pessoal deixa essas duas portas habilitadas só que o pessoal esquece de toda vez que alguém tentar acessar pela porta 80 forçar o redirecionamento dele para a porta 443 isso pode ser um problema se o usuário não é forçado a utilizar https ele pode digitar um login por exemplo ali e acabar expondo suas credenciais na rede eu tô no caso de uma embebido isso pode ser bem crítico E além disso a utilização de Regis obsoletos principalmente aí para armazenamento de senhas então nunca armazenar senhas aí usando estes Como md5 sha1 o próprio dele de cinco ele é um resto é focado em performance e o que a gente menos quer no caso de um ataque à J que a gente tem a performance ali quebrar essa senha e eu sempre utilizar padrões fortes que a gente vai falar logo após aqui os exemplos o som é trouxe aqui também alguns exemplos para vocês Então fale de reprografia usuário no caso aqui é o atacante ele tenta acessar um determinado o site usando http do Servidor retorna 200 Ok é acesso permitido Então esse é um comportamento errado o site permite o acesso via http é uma coisa que a gente deve evitar ou seja o comportamento correto seria o site redirecionar o usuário para o acesso seguro tão mesmo que haja uma tentativa de acesso de http ao invés de servidor retornar 1 200 juntamente com o pelouro do conteúdo lido a resposta ele retorna um 301 movido permanentemente juntamente com esse 301 a gente vai ter o cabeçalho location sentado para o site de forma segura bom então é um uma coleção típica que a gente faz no Web Server Agent qualquer requisição que venha via http a gente dar um movido permanentemente certa como location é o site e forma segura e prevenções para esse tipo de problema e identifique todos os dados sensíveis que a sua aplicação utiliza nunca armazene dados sem se dividir de forma que necessária utiliza criptografia nos dados tanto em repouso quanto em transporte utilize tls para dados em trânsito então às vezes vocês podem ouvir SL mas na verdade pessoal quer dizer pls porque essa SL já um protocolo considerado inseguro Ultimamente é é recomendado utilizar pls versão 1.2 ou superiores também gente já tem até mesmo o tls 1.3 que é o mais recomendado é utilize Red Sports para armazenamento de senhas com argon2d cript s cript pbkdf2 o s cript nem o algoritmo excelente para essa questão de armazenamento de senhas por quê Porque ele é o resto é muito gostoso computacionalmente então ele leva tempo para ser gerado o que pode é em viabilizar um dos ataques aí tiver em Botelhos é tão utilize saltos também então saltos são a camada adicional para evitar ataques tiver botei luz é um explicar adicionado ali no início do resto Evite o uso de resto inseguros no geral como md5 sha1 e verifique de forma independente a eficácia de cada uma das configurações é que você está utilizando tô indo para o tópico A3 em Jackson finalmente então cross-site scripting agora faz parte dessa categoria ou como é que com vocês até que faz sentido ele fazer parte dessa categoria E te subindo algumas posições também porque a gente está constatando que tá tendo uma incidência grande de ataque de xss ela indício nada mais é do que uma injeção que aplicada além da saída no Browser da vítima quais são os tipos clássicos de xss São o xss sair refletidos armazenados onde usado realmente armazenado no banco de dados EA carregado aí para qualquer cliente que acesse a página é um tipo de xss mais crítico e a gente tem um X SS do baseado em um e o que é o dados nem chegam no servidor eles são inseridos Ele diretamente do cliente um Oi Rodrigo e até comentou que um teste que ele tá fazendo agora tem diversos problemas apontados pelo ASP Então realmente é os ataques acontecem bastante bom então voltando aqui tá parte de injeção é a injeção em si consiste enganaram aplicação a incluir comandos ao invés de apenas dados a serem enviados ali para o interpretador o que seria o interpretador Pode ser aí um interpretador SQL como mais Kelly sqllite posters pode ser o próprio Shell do sistema operacional então você pode ter uma injeção ali no próprio Shell ele dá e é que outros nos treinamentos aqui de a gente conseguiu que a gente pipoca bastante nessa parte de as Kelly Shell a região apresenta também outro tipo de injeção bom e muitas aplicações infelizmente ainda são vulneráveis a esse tipo de ataque que é um ataque muito simples de ser executado não existe uma não exige um nível de conhecimento Tão Profundo existem ferramentas automatizadas inclusive que fazem todo o trabalho para gente aí como sqlmap SQL Ninja bom então você vai ficar sem saídas são sempre de fazer esse ataque embora seja muito simples servir tá então quem desenvolvedor sabe que a gente pode evitar um ataque de Açúcar em Jackson por exemplo utilizando por pés Statement que vai adicionar as duas três linhas a mais de código e a gente vai tá codificando de forma segura ou melhor utilizar um RM placas consultas não sejam hard rodadas é limpo lógico em alguns problemas comuns que acabam levando a injeção a entrada do usuário não é validada filtrada ou ser utilizada pela aplicação ou seja os encontros do usuário é não são validadas de nenhuma forma a aplicação confia cegamente que o usuário só vai digitar dados válidos mas usou ele acabou não pensando que você usuário pode ser um atacante e ele pode estar tentando manipular essa consulta ainda sobre consultas muitas vezes o pessoal esquece de criar consultas Queres parametrizadas o que é a melhor forma da gente evitar aí SQL injection ó E além disso entradas maliciosas é são diretamente concatenadas nas estranhos de consultas então esse é um problema e decodificação bem recorrente é que se desenvolvedores usar sem ferramentas redes ache poderiam resolver facilmente e aí já rodou um pente no Python funcionar Kyuubi sabe que assim que ele deve tá então código SQL hard cuidado Olimpo selectlol esse tipo de instrução ele já geram a Red flag na hora que já coloca ele como uma falha crítica que você precisa remover o código em alguns exemplos aí de injeção então um usuário que ele mandou um dado que via post uma tela de login Eu sempre gosto de falar para o pessoal pensem na hora de estourar o SQL inject ou pensem começa quero está sendo montada ali por baixo dos panos e Então qual é o comportamento padrão de uma série geralmente pessoal dá um select é no usar Leme por exemplo from a tabela de usuários EA especificam aqui a condição era usuário ou que pegar aqui da requisição EA senha também foi o que vier aqui da requisição bom então esse é um problema porque muitas vezes aplicação não válida se esse dado aqui realmente é é um dado e não é um comando não é nenhuma instrução ali que possa fechar essa queve aqui e colocar essas ações arbitrárias eu neste segundo exemplo aqui ao invés de passar o usuário nós estamos passando aqui um apóstrofo e uma condição que sempre vai ser verdadeira um igual a um Estamos dando um ponto e, para indicar o final da instrução skelly e menos menos para comentar todo o resto então pensando em como essa quebra e vai ser montado ali por baixo dos panos a gente consegue ver é o seguinte não significa que vai ser desse jeito aqui para todos os casos Mas é só para a gente ter uma noção seria um se alerte e usar name from users Where your name só que como dado na verdade é um comando e o apóstolo que ele vai acabar fechando essa stringhi aqui ou seja ele tem uma condição aqui vazia e depois coloca uma instrução aqui arbitrária por exemplo ou um igual a um outro, e comenta todo o resto ou serviço que vai ser tratado como lixo para o interpretador efetivamente ele vai executar esse código aqui Oi e aí que mora a injeção de SQL a mesma coisa acontece no caso de injeção a nível do sistema operacional quem conhece estamos operacionais sabe que se você colocar um ponto e, e no final da instrução você começa uma outra se colocar e Comercial comercial você começa a outra se anterior somente seguida e assim por diante Então essa exploração Jessica ejection e a língua adição operacional também tudo vai depender do seu conhecimento sobre Essas tecnologias então no caso ali com um sistema operacional o céu é o limite você conhecemos comandos que o Linux tem o Windows tem você pode causar explorações ali de alto impacto eu abrir condições adversas por exemplos estão todos esses são ataques interessantes O Ricardo perguntou se eu consigo deixar o contato do brinquedinho Instagram disse os slides poderiam ser disponibilizados para estudo e análise Futura eu posso sim carga pode Acessar meu site Christian. Sh e mais tarde eu posso estar disponível disponibilizo os slides lá lá tem também outros contatos aí comuniquei G1 tô falando um pouquinho sobre a parte é de xss estão muitos sites quando a gente acessa por exemplo a Amazon MercadoLivre quando você acessa esse site tipicamente você pesquisa por produtos e o que eles fazem coloca uma linha algum lugar da página Você pesquisou por e o nome do produto que Você pesquisou Ah mas isso o site não tiver validando que você digitou você pode acabar causando um xss do tipo refletido bom então até coloquei aqui há muitos sites exibem as entrada do usuário em algum lugar da página Mas e se ao invés de você digitar um dado realmente como eu coloquei aqui teste você colocar um script bom então se aplicação não tiver validando o que você digitou ali ela pode acabar inserindo esse código como parte do corpo da página então não seria cidadão aqui sem nenhuma validação acaba fazendo com que seu browser interprete esse conteúdo da pesquisa é como se fosse parte do site e como os browsers Confiam e tudo que vem do site e isso pode acabar levando um xss Oi e aí novamente o céu é o limite conhecimento que você tem JavaScript vai definir o que você pode ou não fazer aqui então é possível por exemplo fazer uma requisição para outro site aqui vai viajar no Script e no lugar o documento. Cook tão legal cookie do usuário para roubar sessão dele você pode por exemplo usar o bife é uma ferramenta de xss é muito interessante que permite ataques ali que podem reconfigurar a página por completo então você poderia colocar em um formulário nos olhos a senha é e um e-mail e roubar essas credenciais também então tudo vai depender do seu conhecimento com a linguagem e prevenções contra os ataques de injeção utilize ferramentas de RM por exemplo aí para quem usa Python o SQL ao que me é muito bom eu uso ele nunca tive problemas apesar de atestado bastante por essa carinha de anjo nas aplicações coisas e vou o vale de entrada do usuário antes da utilização e é através da slightly x ou expressões regulares eu utilizo controles do SL em sim como limite Então você aplicando um limite você vida tem um usuário mal-intencionado consegui dar um daqui completa ali do banco de dados ele vai dar um dado que apenas o primeiro usuário que ele encontrar Eu Sou Espírita a divulgação em massa de registros no caso de um e Jackson bem-sucedido E além disso codifique a saídas que dependem da entrada do usuário visando evitar ataques de dizer se essa então quando as prevenções mais efetiva as contas Essência Justamente a purificação do usuário então por exemplo ao invés de você simplesmente jogar maior e menor que é são caracteres de abertura e fechamento de tag no HTML você codifica isso você pode colocar ali comercial GT; que agradem E aí o browser ele vai interpretar isso de forma segura e usuário vai ter a mesma saída e vai ver ali que na verdade é um símbolo de maior que a mesma coisa Vale dos outros símbolos Aposto que o aspas duplas você pode codificar isso e forma segura tô falando um pouquinho sobre o tópico A4 inferior designer então é uma nova categoria do Oeste top 10 da categoria bem mais Ampla é que foco em riscos relacionados a falhas de design e arquitetura do software ou seja uma falha é que não além de implementação é uma falha no Design da aplicação é um design seguro ainda pode ter alguns problemas de implementação podem levar a vulnerabilidades já um design inseguro não pode nem ser corrigido com implementação perfeita Justamente a uma falha ali na hora de projetar o software bom então isso acaba que significa que controle de segurança nunca foram pensadas ao criados para defesa contra esses ataques é realmente um problema inerente o design e a sobre o tópico para quatro alguns problemas comuns que levam a esse tipo de ameaça ausência da modelagem de ameaças então muitas vezes envolvedores não pensam nos possíveis pontos de exploração dentro do software ausência de padrões de design seguro e arquitetura de referência a falta de comunicação entre as equipes de desenvolvimento e as equipe de segurança então cabe a nós é analistas consultores de segurança mantemos é um contato com a equipe de desenvolvimento visando explanar para eles as melhores práticas e como a gente pode se prevenir o diferente da táxi é um exemplo aqui bem típico de design seguro aquelas recuperações de senha que se faziam em perguntas e respostas só que se minha uma falha por quê que é uma falha porque mais de uma pessoa pode saber dessas respostas tão padrões aí que a gente tem na indústria como o nist 803-b e o as psds proíbem uso de perguntas e respostas é justamente porque elas não podem ser evidências de identidade mais uma pessoa pode saber essas respostas e acabar recuperando resetando a senha de outro usuário e prevenções do tópico A4 Estabeleça um ciclo de vida desenvolvimento seguro a própria Microsoft disponibiliza para Gente o sdlc que pode ajudar bastante nisso é dividido em 12 fases onde a principal há mais importante é a número um é justamente o treinamento de segurança para desenvolvedores Além disso tire biblioteca seguras para operações com usuários e botecos reconhecidamente é segura essa pela comunidade bom então use modelagem de ameaças para identificar pontos com possíveis vulnerabilidades nas suas aplicações escreva testes unitários é só dica para desenvolvedores sempre teste seu software Além disso adote conceitos como se for vai design e pra ver se vai design é desde o início ali do seu desenvolvimento ou seja pensar em segurança e privacidade também desde a concepção do nosso software e sobre o tópico a 5 Security misconfiguration quando a gente comentou é o XR XL Extreme events agora faz parte dessa categoria tô aplicações web elas Confiam é sempre Praticamente em uma Fundação segura ou seja os Confiam que estão rodando por cima de um ambiente seguro e se incluir desde gestão operacional até o nosso Web Server e muitas vezes é configurações padrão então famoso next next finish ou pessoal quer assistir tutorial no YouTube sem validar nada é acaba causando esse tipo de misconfiguration além disso a falta de Raiden também acaba aumentando a superfície de ataque em Sistemas em alguns problemas comuns das comuns dessa categoria E é curso desnecessários ativados ali os sistemas como por exemplo portas abertas serviços páginas privilégios a falta de Harley esse dos Servidores contas padrão com credenciais comuns então famosas têm admin e os hora de mim a exposição de detalhes de usar os usuários juntamente com a exposição de stack traces não quem nunca sessão no sistema lhe causou um erro na aplicação e aplicação que jogou uma espectrais ali com detalhes sobre o erro tão pode acabar expondo até endereços IP internos esse por f de arquivos Esse é um problema também tem grande é aplicações in.net por exemplo acabam expondo também versões é que o usuário tá utilizando ali o recurso de segurança desabilitados ou mal configurados então ausência de alguns recursos que garantem níveis a mais de segurança como por exemplo cabeçalhos de segurança do http o famoso x-xss-protection é a questão do ex-pm options content-security-policy hsts é um cabeçalho muito importante tão ausência desses cabeçalhos pode acabar levando também a articulação de alto impacto é exatamente Ricardo Ricardo colocou aí no chat pensando segurança deve ser aplicada e revista desde o início ao final do projeto Então realmente é o processo contínuo que nós analistas e desenvolvedores é precisamos ir na nossa corporação E além disso os problemas de configuração muito grave exposição de informações do cabeçalho surdo http cabeçalho server ele acaba mostrando versões do Servidor então a parte 2.2.4 em genexus 1.19.0 você já tá dando de cara ali para o atacante é um tipo de servidor que ele deve explorar e qual é a versão Então ele pode pesquisar com o primeiro habilidades públicas sem maiores dificuldades Além disso com o advento de cloud a gente tem bastante banquete aperto também no S3 onde é possível visualizar dados sensíveis em alguns exemplos aqui você que últimos configuration nós temos aqui exposição de cabeçalhos http o cabeçalho o serviço sendo exposto aqui fiz um Scan simples com Inep outro comportamento padrão também é que quando uma aplicação não encontra um desconto HTML vai servir não encontrou ainda que ponto html no diretório é que ele faz ele lista todos os arquivos daquele diretório Eu também é uma falha alta de segurança e muitas vezes acaba esposo também é diretivas aqui como o server e prevenções realiza o Rider de todos os servidores minimizar a utilização de recursos necessários componentes de documentação remova ou não está ali recursos não utilizados por suas aplicações e fremax sempre valide todos os pés de segurança e um ambiente controlado ou seja uma sandbox e depois apliques em produção minimize a exposição de informações encabeçado C planos e criar um processo automatizado para aplicação de medidas de segurança novos servidores ou seja tem um script para automatizar o processo de aplicação de medida de segurança tô falando sobre o tópico 6 é o nervo onde deita the company’s então Nunca confie cegamente em código de terceiros muitas vezes a gente precisa bastante quase sempre utilizar código de terceiros seja um pacote uma dependência o fêmur uma biblioteca muitas vezes esses freebox esses códigos não foram desenvolvidos com segurança em mente então é ferramentas aí como o aço de dependency-check e o kit Rubi dependabot podem nos auxiliar bastante da medicação dessa categoria de ataques por quê Porque eles verificam é por versões que possuem vulnerabilidades conhecidas ali dentro do nosso ambiente Então se rodando uma ferramenta dessa ela vai pesquisar aí no seu repositório as versões de todas as bibliotecas que você tá importando E se tiver alguma biblioteca comprender habilidade conhecida ela já te avisa e sugere que você é atualiza em alguns problemas comuns antes de vôlei dois que não conhecem as versões de todos os componentes utilizados pelas aplicações muitas vezes envolvedores não conhecem nem mesmo todos os componentes que estão sendo utilizados ali não é bem comum a gente ver o pessoal É adicionando ou removendo dependências e muitas vezes esquecendo de remover justamente algumas dependências não utilizadas então acaba que você é além de ter o problema de segurança Você ainda vai conseguir um pouquinho de disco Porque você vai estar baixando o concorrente ali que nunca vai ser usado é tão e cinco em um banco de dados sistema operacional Web Server bibliotecas e suas dependências tão conheça tem um inventário de tudo isso que é só aplicações tá rodando e muitas vezes as aplicações tem um ausência de um processo de escambo vulnerabilidades frequente tão o recomendado é que periodicamente a gente faça uma análise de vulnerabilidades e até mesmo pentest que é uma análise mais profunda e muitas vezes aplicações também utilizam componentes que não são mais mantidos e com componentes que não recebem as atualizações ou simplesmente foram abandonados projetos abandonados Ali pela comunidade ah e também desenvolvedores acaba não atualizando os componentes de aplicação Depende de um tempo hábil é um exemplo bem famoso quando a utilização de componentes com vulnerabilidades conhecidas foi você vê é liberada do a participantes que é um módulo igual a parte que estava com vulnerabilidades foi uma CBR receber um score crítico então é nota 10 tão causava Impacto ali naquele diz Ide por completa confidencialidade integridade e disponibilidade Ela poderia causar esse impacto no caso Av dos conhecimentos do atacante bom então prevenções para esse tipo de categoria remova dependências não utilizadas recursos necessários arquivos e qualquer tipo de documentação do seu ambiente de produção então nunca deixar dados necessários em ambiente de produção tem um catálogo inventário de todos os componentes que a sua aplicação utiliza incluindo as versões e licenças é ópio Oi Alice de catalogar os componentes server-side e client-side toda adianta nada você no estágio bibliotecas que só o seu servidor depende também lixa as bibliotecas utilizadas ali do lado do cliente Principalmente as bibliotecas JavaScript então por exemplo é legal que você tem um inventário que conste ali o que você usa no seu web Surf ver é quais são os pacotes de pendências e também no lado do cliente então é de Excel e outras bibliotecas JavaScript devem ser inseridas nesse catálogo muito comum e testes a gente pegar aplicações aí que tem versões corretas no server Side estão com todos os pés de todos os recursos de segurança aplicadas por e Em algum momento estão importando uma função ponderável vídeo onde Harry 1.1 que é cheio de vulnerabilidade de xss enquanto a gente já tá na versão 3.5 é com essas mulher habilidades corrigidas então sempre tem um catálogo disso Além disso r os procedimentos de cá software com posicionar Isis ou seja verificar essas bibliotecas e as versões com uma certa frequência ferramentas aí como a si dependency-check nos ajudam muito nesse processo justamente porque a gente consegue integrar isso no nosso pai que lá em movimento então a cada convite que o desenvolvedor dela e dentro a gente consegue manter um Trek Esses códigos são ser adicionados a gente passa por um processo de açúcar e acaba evitando bastante problema bastante dor de cabeça no futuro bom então sempre obtenha componente de fontes oficiais em link Seguros se possível sim desenvolvedor fornecer verifique esses itens que você baixou através de uma função de hash para garantir a integridade do download monitor e bibliotecas que não são mais mantidas pela comunidade ou não disponibilizam Pets de segurança da versões antigas Então se possível atualizar Estadual essas alterações no ambiente controlado pois isso não dá para produção e sobre o tópico a sede é o antigo Broken authentication no Asp de 2017 agora ficou identifiquei Chan e não tente cation trailers então muitas aplicações acabam falhando no processo de confirmação da identidade do usuário bem como em processos de autorização isso acontece muitas vezes pela construção de rotinas de autenticação do zero o que a gente sempre fala Nunca tente inventar a roda utilize biblioteca de autenticação reconhecidamente seguras então para quem usa pai por exemplo a gente tem o Sesc login é uma biblioteca ele já tem todos os recursos de segurança limpeza metados então a gente não precisa se preocupar em como a gente vai implementar essas rotinas a gente já tem uma biblioteca reconhecidamente segura então a gente sempre fala que um desenvolvedor ele nunca deve se preocupar em implementar rotinas de segurança do zero sempre vai existir alguma ferramenta de apronta Segura que ele pode E aí em alguns problemas comuns que a gente tem essa categoria é aplicações que muitas vezes põe os usuários válidos permitindo que atacam se realizem tentativas direcionada de ataque de força bruta não são mais implementações e quando o usuário digita ali uma senha ele fala olha enviamos ali para o seu e-mail tá dando de cara limpa o atacante é que o e-mail existe esse mesmo existir ele fala olha o e-mail não existe Então essa é uma falha de implementação que a gente tenta evitar ao máximo a gente sempre quer receber uma mensagem genérica ali para o usuário o que ele pode ser o atacante então a gente fala se seu existir verifique sua caixa de entrada é que o e-mail vai estar lá então sempre recebi mensagem genéricas para o usuário e a voltando mais nessa parte do tópico 7 muitas aplicações permitem a utilização de senhas fracas ou conhecidas então uma boa prática ultimamente até o Chrome está adotando por exemplo é sempre que os olhos digitar uma senha que já apareceu em algum casamento ou uma senha que é reconhecidamente fraca um dois três quatro cinco seis o cão e vai lá e te aviso Olha só senha quem segura ela já apareceu no casamento e ela é muito fraca então nossos aplicações também podem implementar esses recursos então a gente poderia pegar aliás 10 mil senhas mais comuns e verificar se o usuário tá tentando se cadastrar com alguma delas além dos requisitos clássicos de complexidade decenzo bom então outro Bruna comum a utilização de mecanismos inapropriados para recuperação de senhas como por exemplo perguntas e respostas que a gente viu pela paradesign o próprio armazenamento em segundo de senhas por exemplo em texto plano ou com restos fracos ausência de mecanismos de perto authentication multi-factor authentication então eu vi até um estudo da Microsoft que mostrou que mais de noventa porcento das invasões da contas poderiam ter sido evitadas simplesmente com o uso de ti Factor authentication Então realmente é algo que a gente deve pela metade das nossas aplicações E além disso exposição de tomar injeção na URL ou em logs um problema clássico também que utilização de token expressão EA falta de validação desses AIDS também são os problemas em evidência nas aplicações ultimamente é um exemplo aqui ó fiz um brute Force simples numa aplicação para quem conhece usei o pe bom então cê tem aqui wordlist com várias senhas e aplicação ela não estava fazendo um procedimento de rede limite ou seja ela tava permitindo que eu deliberadamente testar se aqui senha e ela não aguentava nem de leilões e gerei um caption O que é um problema aí the authentication então passei aqui um o dirigente com várias senhas eu já sabia que essa teste aqui era correta e vocês podem perceber pelo código de status que ela tava dando um 302 mas não resposta correta ela deu um 200oc Além disso tamanho da requisição da resposta também foi diferente o problema de make me Queen são plástico também das categorias e prevenções para esse tipo de ataque utilize mecanismo de infecção authentication multi-factor authentication não muitas perguntas invasões poderiam ter sido evitadas através das cinco procedimento nunca mantenha credenciais perfow em ambiente de produção pessoalmente pelos olhos admins implemente rotina de verificação de senhas fracas em processos de criação de contou mudanças de senhas Eu exijo requisitos mínimos de complexidade para senhas limite as tentativas de login por exemplo aplicando um time-out um delay é uma tem análise mantém análise logo isso por tentativas de login com falha principalmente não tem um procedimento de análise de logs utilize bibliotecas reconhecidamente seguras para o procedimento de autenticação e autorização o Ricardo colocou aí segurança 05 militar em camadas exatamente o que a gente chama de defesa em profundidade até um pouco mais camadas maior a dificuldade de acesso indevido tô falando um pouquinho sobre o tópico a 8 software and to integrate fez também uma nova categoria do Vasco 2021 a descer as ações segura agora faz parte das categorias uniram aqui dentro se consegue fazer de sofre que podem comprometer a integridade de dados planta cresce podem por exemplo modificar dados vulneráveis a terceirização e segura que agora faz parte dessa categoria em alguns problemas comuns são os sistemas que não verificam assinatura de atualizações download de código o executáveis em verificações de integridade de sinalização de dados não confiáveis então aplicações não verificam os dados antes de descer realizar problema muito recorrente em em aplicações que são orientadas a objetos onde a gente tem um objeto precisa salvar ele na memória secundária Ou seja no HD e depois colocar na memória RAM memória principal novamente um objeto então o problema ocorre justamente nesse processo de retornar o objeto é para memória principal o outro problema comum aí a confiança em cookies sem a correta avaliação e verificação de integridade é um exemplo aqui simples de civilizações segura então atacante ele vai pegar um objeto ali que já tá salvo vai descer realizar vai inserir um código malicioso se realizar novamente enviar para um cliente para o aplicação e na hora que essa aplicação de se realizar e carregar os dados pode ser que tenha um código malicioso para executar uma ação como a execução remota de código um ataque de negação de serviço uma foto de Bong por exemplo então também um ataque bem comum e linguagens orientadas a objetos e prevenções contra em sua categoria direito assinaturas digitais a verificação software os dados que utiliza não foram adulterados certifique-se de que softwares como npm e o Meire estão consumindo repositório de fontes confiáveis gerenciamento sair como dependency-check para verificar se esse composição contém puder habilidades e certifique-se de que haja processo de revisão de código sejam pode viu para minimizar a chance de pode o mal intencionadas introduzido no seu Parque Lage desenvolvimento E além disso faça processos de industrialização apenas um dados devidamente assinados E confiáveis você já mantém um banco de dados ali com os restos dos dados serializados e você só vai descer realizar o dado que receber que você receber Se ele tiver que me resta então é um opção e sobre o A9 você curtiu em e monitore feathers Tom é também se Manteve aí entre os ataques mais recorrentes são muitas aplicações sistemas falham no correto monitoramento e análise de logs estão ausência de Tais procedimentos acaba impedindo que organizações da Tec tem é ataques em tempo hábil na correção das habilidades e aplicação ali os controles reativos após matar seu currículo em alguns problemas comuns muitos eventos auditáveis como por exemplo logins vamos com falhas principalmente transações de alto valor acabam não sendo registrados pelas aplicações e são grande problema avisos e erros geram mensagens de log inadequadas ou pouco Claras então fica difícil para os governadores e o pessoal deinfra divulgar o que tá acontecendo os logs de aplicações e apis não são monitorados para atividades suspeitas e logs muitas vezes também armazenados apenas localmente então é bem como a gente vê o pessoal armazenando log na mesma máquina que tá o absorver apenas dela então só atacante conseguindo agradecer ele pode até por já modificar os olhos ali dentro e E além disso testes de invasão e varreduras por ferramentas não acionam alertas também um problema recorrente a gente sabe quem trabalha com pentest sabe que muitas ferramentas elas são barulhentas elas eram muitos jovens deixam muitos rastros e suas aplicações dos observação estiverem configuradas corretamente é muitas vezes o pessoal nem se dá conta de que tá passando ali por uma invasão o que já foi invadido E além disso aplicações não conseguem detectar escalar o alertar para táxis ativos em tempo real então imaginei que você só acaba ele tentando uma negação de serviço meia hora depois uma hora depois duas horas para algumas organizações então time de cinco minutos já pode ser crítico é um exemplo clássico aqui uma ferramenta que gera bastante log Onix do por exemplo por ser um só a quantidade de logo que ele gerou aqui no meu Apache é no mesmo minuto no mesmo segundo a é só um comportamento é impossível de ser realizada ali por um humano realmente é uma ferramenta então muitas vezes as aplicações elas não tem uma certa inteligência para verificar a ocorrência incidência desses ataques a ferramenta sair com elásticos URT e outros podem nos auxiliar bastante a identificar esse tipo de ameaça e prevenções certifique-se de que informações importantes sejam registradas com contexto de usuário suficiente para identificar contas suspeitas também é importante é dependendo da sua aplicação manter essas contas desativadas as vezes o pessoal quer apagar direto as contas Mas a gente sempre comida mantê-los desativadas até um processo de perícia forense após esse processo pode ser constatado que o usuário fez Realmente você pode apagar essa conta e assegure-se de que os jovens são gerados um formato específico que possa ser facilmente consumido por uma solução como o elástico senhor tentou esses logs que a gente armazena os eles têm um certo formado é importante que a gente não tem esse formato para que o elástico surgiu logstash consiga consumir seria um problema E além disso Estabeleça monitoramento e alertas eficazes de modo que atividades suspeitas sejam detectadas e respondidas no tempo o Lábio e por fim a falando aqui sobre o tópico 10 ser versátil Spore é uma nova categoria do top-10 uma vulnerabilidade bem interessante que permite que o atacante Force aplicação a realizar requisições tão domínio arbitrário atacantes eles podem é a partir dessa dessa vulnerabilidade interagir por exemplo com ela Isso ver é alguns componentes da rede do usuário também para obter informações sensíveis então ataque realmente muito interessante é problemas comuns aplicações que buscam recursos remotos sem validar a URL informada pelo usuário não existe nenhuma validação é um exemplo disso quem nunca acessar algum site onde era possível você fazer o download de uma imagem através de uma url Então você passar um ml e ele carregava a imagem no site nós isso por acaso ao invés de você passar um site externo você passasse um local roxa aqui como isso aqui vai ser executado pelo servidor Ele vai tentar obter as informações do próprio webserver ali no próprio site vulnerável vamos Você poderia por exemplo ver se tem mais portas abertas nesse servidor abaixo da sua vulnerabilidade passando aqui um dois pontos por exemplo 5631 9.200 só pode sair comuns bom então a partir disso você pode até mesmo enumerar mais informações elas sobre a rede da pessoa e prevenções segment a funcionalidade de acesso a recursos remotos em redes separadas Então você vai reduzir o impacto de server Side with four se Estabeleça também políticas de negar por padrão ali nos seus filhos registro de todos os acessos com sucesso e negados isso é muito importante Vale de todos os dados de entrada fornecidos pelo cliente Além disso você pode utilizar também whitelists para validação das urls Que o usuário fornecer então se for URL com você não quer você simplesmente nega então uma dessas RS poderia servir o seu é o absorver o local roxa bom então a gente falou bastante sobre essa questão é de ataques prevenções mas sobre a parte ofensiva como a gente pode começar a atacar o Website com essas poder habilidades é pensando aí no pessoal de verde TIM então dicas que eu dou para vocês é tem uma ótima base sobre o protocolo http então protocolo http é o essencial para você começar a pensar explorar aplicações web você tem que ter um domínio sobre esse protocolo porque é o que rege todas as Sensações web hoje em dia bom então conhecer redes TCP essencial também para qualquer um que queira atuarem como é do time de Varzim E além disso o estudo de sistemas operacionais é fundamental Não só para a gente de segurança mas para qualquer pessoa que trabalha UTI então o estudo de SOS é fundamental para identificar entendimento e execução também de ataques um pouco mais sofisticados Então essa esse alguém entender muita coisa é na área de ter Além disso Saiba se virar sozinho porque eu sempre falo eu pessoal que me pergunta metade dicas então nunca dependa exclusivamente de ferramentas você sabendo desse peitei programação mesmo você tá no Ali no lugar sem nenhuma ferramenta você consegue se virar porque você tem a base então você pode criar suas próprias ferramentas estão nunca dependa cegamente ali de ferramentas é esse depender Oi gente alguma ferramenta entenda realmente que você tá fazendo Entenda como ela funciona por baixo dos panos em alguns ambientes onde a gente pode praticar esses conhecimentos que a gente é Observe agora o que vocês certamente vão pesquisar mais temos algumas aplicações propositalmente vulneráveis para a prática de segurança da informação uma uma bem conhecido é o de VW a tem no voleibol era application e outra também bem famosa bem mais moderna também que o devedor abri-la é o Web Gold ele já inclui ali ataques que estão novo top10 como saber saber quais forem então vocês podem treinar testar seus conhecimentos também nessa aplicação além de ferramentas é de bonit né então é de goji balde então a gente pode utilizar também sites como um hacker Luan e coloquei fraude ou de empresas deliberadamente colocou ali se os endereços seus e seus domínios e você pode pesquisar por vulnerabilidades é tranquilamente sem medo de ser processado e é uma ótima forma também de testar mas o nosso conhecimento Então você tem um ambiente realmente realista é um ambiente aqui foi projetado para ser seguro Então você tem um grande desafio ao invadido então plataformas como hack One e o bang fraude são as mais famosas são as que eu recomendo para quem quer testar seus conhecimentos também no top ten E além disso aqui na daryus a gente tem o curso de web application Security já tá atualizado para nova versão da USP é onde a gente ensina todos esses ataques com mais detalhes e também outras técnicas de prevenção defesa Claro E aí também outros conceitos para a gente entra em detalhes ali em técnicas de Sá rashidat s.a. Falamos também sobre e segurança por designer privacy by design Tom é um curso realmente completo vai dar uma ótima base para quem precisar é um curso de 24 horas vocês podem dar uma olhada na grade curricular escaneando aí esse QR Code ou acessando odalis. Com.br/curso/o application Security então curso de completo 24 horas é ele dá uma visão geral não só sobre o assunto top tem mas também de outros padrões que a gente tem então a gente fala sobre controles proativos da West White vs não é bem completo bom então é isso pessoal o webnar foi esse então espero que vocês tenham gostado a realização aí dá dares e do idesp instituto de ensino superior Paulista é espero que vocês tenham gostado e quem tiver interesse no treinamento é existe uma turma já para a próxima semana aos até o interesse nos vemos lá Ah tá obrigado aí Rodrigo Larissa Oi Cássia e Valeu Ricardo é tão ótima tarde a todos bom final de semana em qualquer dúvida pode entrar em contato comigo é o link aqui vai ficar gravado também vai ficar gravado vocês podem vê-lo revelou quantas vezes quiserem e depois aprofundar os seus conhecimentos tá ligado aí Lucas Rodrigo Igor estiver em dúvida as pessoas quiserem Aproveitar esses minutinhos finais também para perguntar fique à vontade é mais boa tarde a todos E aí