Os 5 tipos de ataques web mais comuns

Você sabe o que é um cyber-ataque? É qualquer atividade ou ameaça realizada em meios digitais por indivíduos ou grupos que, por meio do uso de tecnologias, afetam a estabilidade política, econômica ou social de sistemas de empresas, instituições, governos ou computadores individuais e capturam as suas informações mais sigilosas.

De acordo com um estudo realizado pelo SOC (Security Operations Center) da própria Tempest, 80,85% das tentativas de ataque identificadas tiveram como alvo aplicações web. Além de utilizar essas fragilidades para invadir os sistemas e roubar informações sigilosas, os objetivos dos atacantes são dos mais variados: hacktivismo, fraudes, dano de imagem, etc.

Visando alertar o mercado sobre esse problema, o OWASP (Open Web Application Security Project), projeto dedicado a identificar e combater vulnerabilidades das aplicações web, fez um levantamento sobre os cyber-ataques. A seguir, conheça os cinco principais:

1. Injection

Um ataque de injeção (Injection) é capaz de modificar as páginas de websites para incluir um código malicioso, que tem por objetivo infectar o visitante que estiver usando um sistema desatualizado e desprotegido. Caso o ataque seja bem-sucedido, o invasor consegue visualizar registros do banco de dados que, em condições normais, não poderiam ser lidos.

Hoje, o número de páginas infectadas já atinge a casa dos milhares, e pessoas de todos os países do mundo estão sujeitas a serem atacadas. Todo formulário web pode servir como porta de entrada para o ataque de injeção.

2. Broken Authentication and Session Management

Muitas aplicações web que envolvem autenticação e gerenciamento de sessão não são implementadas corretamente, apresentando falhas em áreas como logout e atualizações de conta. No universo de autenticação, essas funções não são consideradas importantes e, por isso, sofrem inúmeros ataques. Essas falhas permitem que atacantes comprometam senhas, chaves e identificadores de sessão, pondo em risco a segurança do usuário.

3. Cross-Site Scripting

O Cross-Site Scripting, também conhecido como XSS, é um tipo de vulnerabilidade em que uma página de internet não filtra suficientemente as informações enviadas pela aplicação web, aceitando dados do usuário sem qualquer tipo de tratamento. Assim, o atacante consegue inserir um código e comprometer a segurança da aplicação, coletando informações sigilosas ou burlando métodos de validação.

Como exemplo, podemos citar as páginas de busca, que exibem na tela a informação que está sendo procurada pelo usuário. Se a exibição desta informação não for filtrada corretamente, ela será interpretada como código HTML pelo navegador em vez de ser exibida, o que possibilita o ataque.

O invasor também pode alterar sites da internet, redirecionar os usuários para sites maliciosos e até roubar dados importantes, como informações (cookies) de autenticação, o que permite que o atacante possa, por exemplo, entrar em um site como se fosse o usuário.

Outra função deste ataque é a chamada "elevação de privilégios", no qual o invasor adquire privilégios administrativos em áreas do site que ele não possui acesso.

4. Insecure Direct Object References

Ocorre quando o desenvolvedor expõe uma referência a objetos internos da aplicação web, que podem ser arquivos, diretórios ou um registro do banco de dados exposto por meio de uma URL ou formulário. Muitas aplicações não empregam as devidas restrições de acesso a determinados recursos, permitindo que estes sejam acessados diretamente por usuário e que, adicionalmente, estes acessos podem ser feitos de forma não autenticada, o que agrava o problema.

5. Security Misconfiguration

Quando as atualizações não são instaladas e/ou o software não é configurado corretamente, temos a ocorrência da vulnerabilidade de configuração incorreta de segurança. Uma vez explorada, ela pode comprometer por completo o sistema. Logo, para proteger sua aplicação web contra ataques, o responsável pelo sistema deve mantê-la sempre atualizada e configurada.

Como a empresa pode se prevenir contra esses ataques?

Para que a empresa não sofra com falhas e vulnerabilidades de segurança em suas aplicações e infraestrutura de TI, ela deve contar com as soluções de uma empresa líder em segurança da informação e combate a fraudes digitais.

A linha de trabalho de penetration testing da Tempest inclui a identificação proativa de falhas e riscos de segurança contidos no ambiente e o fornecimento de recomendações completas para a correção, por meio da reprodução de métodos, técnicas e táticas utilizadas por atacantes e fraudadores que certamente causariam inúmeros danos ao seu negócio.

Em seus testes, são avaliados diversos tipos de alvos, como infraestrutura, redes, bancos de dados, aplicações, client-side (estações de trabalho), dispositivos móveis, processos e engenharia social.

E você, já foi alvo de algum desses ataques? Compartilhe suas dúvidas sobre as vulnerabilidades ou suas experiências nos comentários abaixo!

Comentários
Aceita-se formatação à la TWiki. HTML e scripts são filtrados. Máximo 15KiB.

 
Enviando... por favor aguarde...
Comentário enviado com suceso -- obrigado.
Ele aparecerá quando os moderadores o aprovarem.
Houve uma falha no envio do formulário!
Deixei uma nota para os admins verificarem o problema.
Perdoe-nos o transtorno. Por favor tente novamente mais tarde.