Ameaças de segurança de aplicações web evoluem, mas causas raiz persistem. Aqui estão as 15 ameaças mais críticas mapeadas para categorias OWASP Top 10 (2021):
Injeção e Falhas de Entrada
- SQL Injection (A03:2021) — Input não sanitizado em queries SQL → roubo de dados, bypass auth, RCE. Fix: Queries parametrizadas / ORM.
- Cross-Site Scripting / XSS (A03:2021) — Refletido/Armazenado/DOM XSS → sequestro sessão, defacement, roubo credenciais. Fix: Output encoding, CSP, cookies HttpOnly.
- Command Injection — Input de usuário passado para shell do sistema (`exec`, `system`, backticks). Fix: Evite shell; allowlists; `subprocess` com array args.
- LDAP / NoSQL / ORM Injection — Mesmo padrão, parsers diferentes. Fix: APIs parametrizadas.
Controle de Acesso Quebrado (A01:2021)
- IDOR / Referências Diretas Inseguras — `/api/user/123/orders` → mude para 124. Fix: Checks de autorização por request.
- Controle de Acesso Nível Função Ausente — Endpoints admin chamáveis por usuários. Fix: Middleware RBAC/ABAC.
- Path Traversal — `../../etc/passwd` em parâmetros arquivo. Fix: Normalização path, chroot, allowlists.
Falhas de Autenticação e Sessão (A07:2021)
- Credenciais Fracas / Credential Stuffing — Sem MFA, senhas vazadas reusadas. Fix: MFA (TOTP/WebAuthn), checagem senha vazada (HaveIBeenPwned), rate limiting.
- Fixation / Sequestro de Sessão — Session IDs previsíveis, sem Secure/HttpOnly/SameSite. Fix: Rotacione ID no login, flags cookie seguras.
- Reset de Senha Quebrado — Token na URL, sem expiração, enumeração usuário. Fix: JWT curto, respostas genéricas.
Arquitetura e Configuração
- Configuração Insegura (A05:2021) — Credenciais default, portas abertas, erros verbosos, headers ausentes (HSTS, CSP, X-Frame-Options), debug ligado em prod.
- Componentes Vulneráveis e Desatualizados (A06:2021) — Frameworks sem patch (Log4Shell, Spring4Shell), dependências. Fix: SBOM, Dependabot, Snyk, updates agendados.
- Deserialização Insegura (A08:2021) — Input objeto → RCE (Java, .NET, PHP, Python pickle). Fix: Evite serialização; tokens assinados/criptografados; allowlists.
Ameaças Modernas
- SSRF (A10:2021) — Servidor busca URL controlada por atacante → metadados cloud (169.254.169.254), serviços internos. Fix: Allowlist URLs, negue IPs privados, sem redirects.
- Ataques Supply Chain — Dependência comprometida (event-stream, UA-Parser-JS), CI/CD envenenado (SolarWinds, Codecov). Fix: Lockfiles, sigstore, builds reproduzíveis, base images mínimas.
Transversais
- DoS/DDoS — Volumétrico, camada aplicação (slowloris, HTTP/2 rapid reset). Fix: WAF, rate limit, CDN, Anycast.
- MITM / Falhas TLS — Certs expirados, cifras fracas, sem HSTS, bypass cert pinning. Fix: TLS 1.2+, automação cert (ACME), monitoramento CT.
- Phishing / Engenharia Social — Colheita credenciais, fadiga MFA, phishing consent OAuth. Fix: MFA resistente phishing (FIDO2), DMARC, treinamento.
- Falhas Lógica Negócio — Manipulação preço, bypass workflow, race conditions. Fix: Threat modeling, testes integração, logs audit imutáveis.
Checklist Defense-in-Depth
- WAF (Cloudflare, AWS WAF, ModSecurity) — virtual patching
- SAST/DAST/IAST no CI/CD
- Pen test anualmente + após mudanças grandes
- Bug bounty (HackerOne, Bugcrowd) ou VDP
- Plano resposta incidentes + exercícios tabletop
Segurança não é feature — é processo. A lista acima é seu ponto de partida para threat modeling.
