Trilha de estudo
Trilha Segurança de Aplicações Web: tudo o que estudar, tópico por tópico
Avaliação prática de segurança de aplicações web cobrindo o OWASP Top 10, injeção e XSS, autenticação e controle de acesso, proteção de dados, ataques avançados do lado do servidor e segurança de APIs.
Resposta curta
Para aprender Segurança de Aplicações Web, percorra 6 módulos e 24 tópicos na ordem em que um apoia o próximo. Comece por Fundamentos de Segurança Web e siga para Injeção e XSS e Autenticação e Controle de Acesso. Use o mapa como checklist, ou meça seu nível e estude só o que falta.
O que você vai estudar
Os tópicos estão agrupados por módulo. Abra um para ver os objetivos e os conceitos-chave.
1 · Fundamentos de Segurança Web4 tópicos
OWASP Top 10
As categorias de risco de aplicações web do OWASP Top 10, o que cada uma representa e como a lista prioriza os testes
Objetivos
- Identificar as categorias do OWASP Top 10 e o que cada uma representa
- Mapear uma vulnerabilidade relatada para sua categoria no OWASP Top 10
Conceitos-chave
- controle de acesso quebrado
- injeção
- falhas criptográficas
- classificação de risco
- conscientização
Modelo de Segurança HTTP
Como o HTTP funciona, o papel de cabeçalhos e cookies, a política de mesma origem e o modelo de segurança do navegador
Objetivos
- Explicar como a política de mesma origem restringe o comportamento do navegador
- Ler uma requisição/resposta HTTP e identificar atributos inseguros
Conceitos-chave
- requisição/resposta
- cabeçalhos
- cookies
- política de mesma origem
- fundamentos de TLS
- códigos de status
Metodologia de Teste de Segurança
Uma metodologia repetível para testar aplicações web: reconhecimento, mapeamento da aplicação, fuzzing e uso de proxy interceptador
Objetivos
- Mapear a superfície de ataque de uma aplicação durante o reconhecimento
- Usar um proxy interceptador para inspecionar e reenviar requisições
Conceitos-chave
- reconhecimento
- mapeamento da aplicação
- fuzzing
- proxy interceptador
- superfície de ataque
- escopo
Fundamentos de Modelagem de Ameaças
Modelagem de ameaças básica para web: identificar ativos, fronteiras de confiança, fluxos de dados e aplicar STRIDE
Objetivos
- Desenhar fronteiras de confiança e fluxos de dados para uma aplicação web simples
- Aplicar STRIDE para enumerar ameaças contra um componente
Conceitos-chave
- fronteiras de confiança
- diagrama de fluxo de dados
- STRIDE
- objetivos do atacante
- ativos
2 · Injeção e XSS5 tópicos
Validação de Entrada e Codificação de Saída
Validar entradas não confiáveis com allowlists e aplicar codificação de saída sensível ao contexto como defesa primária contra injeção
Objetivos
- Distinguir validação de entrada de codificação de saída e quando cada uma se aplica
- Escolher codificação de saída adequada ao contexto para neutralizar dados não confiáveis
Conceitos-chave
- validação por allowlist
- canonicalização
- codificação sensível ao contexto
- sanitização
- entrada não confiável
Injeção de SQL
Detectar e explorar injeção de SQL (union, baseada em erro, cega) e as defesas de consultas parametrizadas e menor privilégio
Objetivos
- Explorar e então remediar uma injeção de SQL com consultas parametrizadas
- Detectar injeção de SQL cega usando técnicas booleanas e baseadas em tempo
Conceitos-chave
- baseada em union
- cega/booleana
- baseada em erro
- consultas parametrizadas
- segurança de ORM
- segunda ordem
Injeção de Comando e LDAP
Injeção além do SQL: injeção de comando do SO via metacaracteres de shell e injeção de filtro LDAP, com remediação por APIs seguras
Objetivos
- Identificar pontos de injeção de comando do SO e substituí-los por APIs seguras
- Explicar como a injeção de filtro LDAP burla a autenticação
Conceitos-chave
- injeção de comando do SO
- metacaracteres de shell
- injeção de filtro LDAP
- injeção de argumento
- APIs seguras
Cross-Site Scripting (XSS)
XSS refletido, armazenado e baseado em DOM: como cada um é entregue e explorado, e como codificação e APIs de DOM seguras os previnem
Objetivos
- Diferenciar XSS refletido, armazenado e baseado em DOM e sua entrega
- Remediar XSS com codificação sensível ao contexto e sumidouros confiáveis
Conceitos-chave
- XSS refletido
- XSS armazenado
- XSS baseado em DOM
- fontes e sumidouros
- contexto HTML/JS/atributo
- roubo de sessão
Content Security Policy
Projetar uma Content Security Policy eficaz com nonces, hashes e strict-dynamic como camada de defesa em profundidade contra XSS
Objetivos
- Projetar uma CSP estrita que mitigue significativamente o XSS
- Diagnosticar por que uma CSP é contornável e fortalecê-la
Conceitos-chave
- script-src
- nonces e hashes
- strict-dynamic
- report-uri
- defesa em profundidade
- padrões de bypass
3 · Autenticação e Controle de Acesso4 tópicos
Gestão de Sessão
Gestão segura de sessão: geração de token, flags de cookie, prevenção de fixação, rotação e timeouts
Objetivos
- Configurar cookies de sessão seguros e rotação para prevenir fixação
- Identificar fraquezas no tratamento do ciclo de vida da sessão
Conceitos-chave
- tokens de sessão
- flags de cookie
- fixação de sessão
- rotação na autenticação
- timeout ocioso/absoluto
- logout
Autenticação e Armadilhas de JWT
Fraquezas de autenticação e armadilhas de JWT: ataques de credenciais, MFA, armazenamento seguro de senhas e falhas de algoritmo/assinatura
Objetivos
- Identificar fraquezas comuns de autenticação como ausência de rate limiting e hashing fraco
- Evitar armadilhas de JWT incluindo confusão de algoritmo e assinaturas não verificadas
Conceitos-chave
- credential stuffing
- MFA
- armazenamento de senhas
- confusão de algoritmo JWT
- algoritmo none
- expiração de token
Cross-Site Request Forgery
Cross-site request forgery: como atacantes abusam da autenticação ambiente e as defesas de token sincronizador, double-submit e SameSite
Objetivos
- Explicar como o CSRF abusa de credenciais de sessão ambientes
- Defender endpoints que alteram estado com tokens e cookies SameSite
Conceitos-chave
- tokens CSRF
- cookies SameSite
- double-submit
- requisições que alteram estado
- verificação de origin/referer
Controle de Acesso e IDOR
Controle de acesso quebrado: referências diretas inseguras a objetos, escalonamento vertical e horizontal de privilégios e negação por padrão no servidor
Objetivos
- Encontrar autorização quebrada em nível de objeto (IDOR) em uma API
- Projetar controle de acesso de negação por padrão aplicado no servidor
Conceitos-chave
- IDOR
- escalonamento vertical de privilégio
- escalonamento horizontal
- navegação forçada
- negar por padrão
- propriedade de objeto
4 · Proteção de Dados e Configuração4 tópicos
Configuração Insegura
Configuração insegura: credenciais padrão, erros verbosos, recursos desnecessários e interfaces administrativas expostas, com baselines de hardening
Objetivos
- Identificar configurações inseguras comuns como contas padrão e erros verbosos
- Aplicar um baseline de hardening para reduzir a superfície de ataque
Conceitos-chave
- credenciais padrão
- erros verbosos
- buckets de nuvem abertos
- recursos desnecessários
- baselines de hardening
Cabeçalhos HTTP Seguros
Cabeçalhos de resposta HTTP relevantes à segurança (HSTS, frame options, content-type options, CORS) e seu papel no fortalecimento do navegador
Objetivos
- Configurar cabeçalhos de segurança para mitigar clickjacking e MIME sniffing
- Explicar o impacto de segurança de uma política CORS permissiva
Conceitos-chave
- HSTS
- X-Content-Type-Options
- X-Frame-Options
- Referrer-Policy
- CORS
- cache-control
Exposição de Dados Sensíveis e TLS
Proteger dados sensíveis em trânsito e em repouso: configuração de TLS, seleção de cifras, minimização de dados e evitar criptografia fraca
Objetivos
- Avaliar uma configuração de TLS quanto a cifras e versões de protocolo fracas
- Reduzir a exposição de dados sensíveis por criptografia e minimização
Conceitos-chave
- dados em trânsito
- dados em repouso
- configuração de TLS
- suítes de cifras
- minimização de PII
- criptografia fraca
Gestão de Segredos
Gerenciar segredos da aplicação: armazenamento em cofre, rotação, evitar credenciais embutidas e responder a chaves vazadas
Objetivos
- Projetar armazenamento e rotação de segredos que evitem credenciais embutidas
- Detectar e responder a segredos vazados no controle de versão
Conceitos-chave
- cofre de segredos
- rotação de chaves
- sem segredos embutidos
- riscos de variáveis de ambiente
- credenciais vazadas
- menor privilégio
5 · Ataques Avançados do Lado do Servidor4 tópicos
Server-Side Request Forgery
Server-side request forgery: forçar o servidor a fazer requisições controladas pelo atacante a serviços internos, com defesas de allowlist/egresso
Objetivos
- Explorar SSRF para alcançar serviços internos/metadados e então remediá-lo
- Projetar allowlisting de URL e controles de egresso contra SSRF
Conceitos-chave
- endpoints de metadados internos
- allowlist de URL
- DNS rebinding
- SSRF cego
- IMDS de nuvem
- filtragem de egresso
Desserialização Insegura
Desserialização insegura: como dados serializados não confiáveis e gadget chains levam a RCE, e as defesas de formato seguro e allowlist
Objetivos
- Explicar como a desserialização insegura leva à execução remota de código
- Substituir desserialização insegura por formatos seguros e allowlists de tipo
Conceitos-chave
- injeção de objeto
- gadget chains
- dados não confiáveis
- allowlists de tipo
- formatos seguros
- risco de RCE
Segurança de Upload de Arquivos
Proteger uploads de arquivos: validar tipo e conteúdo, sanitizar nomes de arquivo e armazenar arquivos onde não possam ser executados
Objetivos
- Prevenir uploads maliciosos por validação de tipo e conteúdo
- Armazenar uploads com segurança para prevenir execução e traversal
Conceitos-chave
- validação de content-type
- magic bytes
- sanitização de nome de arquivo
- armazenamento fora da webroot
- upload executável
Path Traversal
Path traversal: escapar de diretórios pretendidos via sequências ../ para ler arquivos arbitrários, com remediação por canonicalização
Objetivos
- Detectar e explorar uma falha de path traversal e então remediá-la por canonicalização
- Restringir o acesso a arquivos a um diretório base em allowlist
Conceitos-chave
- traversal de diretório
- ponto-ponto-barra
- canonicalização
- caminhos em allowlist
- LFI
- verificação de caminho absoluto
6 · Segurança de API e Aplicação3 tópicos
Segurança de API e BOLA
Segurança de API incluindo autorização quebrada em nível de objeto (BOLA), autorização em nível de função e exposição excessiva de dados em APIs REST/GraphQL
Objetivos
- Projetar autorização em nível de objeto que previna BOLA em uma API
- Raciocinar sobre o OWASP API Security Top 10 em uma arquitetura
Conceitos-chave
- BOLA
- autorização quebrada em nível de função
- exposição excessiva de dados
- enumeração de API
- propriedade de objeto
- OWASP API Top 10
Mass Assignment e Rate Limiting
Mass assignment por binding de propriedades sem proteção e estratégias de rate limiting/cotas para prevenir abuso e exaustão de recursos
Objetivos
- Prevenir mass assignment com allowlists explícitas de propriedades
- Projetar rate limiting e cotas para resistir a abuso e exaustão
Conceitos-chave
- mass assignment
- allowlist de binding de propriedades
- rate limiting
- exaustão de recursos
- prevenção de abuso
- cotas
Modelagem de Ameaças de Aplicação em Escala
Modelagem de ameaças para plataformas web complexas: gerenciar superfície de ataque entre serviços, projetar fronteiras de confiança e priorizar risco
Objetivos
- Liderar um exercício de modelagem de ameaças para uma plataforma web multisserviço
- Priorizar a remediação por risco em uma grande superfície de ataque
Conceitos-chave
- gestão de superfície de ataque
- projeto de fronteiras de confiança
- revisão de arquitetura de segurança
- defesa em profundidade
- priorização de risco
Níveis: Júnior, Pleno, Sênior e Especialista
Explique com suas palavras
Corrigido por IA · sem cadastro · 1 perguntaSem alternativas para chutar: você escreve, a IA corrige com a rubrica do tópico e diz em que nível sua resposta está.
Já estuda Segurança de Aplicações Web?
A avaliação mede tópico por tópico, e o plano pula o que você já sabe.
Aberto para ler. A conta só é necessária para ser medido.
Perguntas frequentes
Por onde começar a estudar Segurança de Aplicações Web?
Comece por Fundamentos de Segurança Web: OWASP Top 10, Modelo de Segurança HTTP e Metodologia de Teste de Segurança. O mapa ordena os tópicos pelo que depende de quê, então cada um prepara o seguinte.
Quanto tempo leva uma avaliação completa de Segurança de Aplicações Web?
Uma avaliação completa desta trilha leva cerca de 55 minutos. O tempo de estudo depende de onde você começa; o diagnóstico mostra quais tópicos você pode pular.
Preciso de conta para usar esta página?
Não. O mapa, os objetivos e os conceitos-chave são abertos. A conta só é necessária para ser medido, ver seu gap por tópico e receber um plano.