Palestra de 40 min. sobre o risco da principal vulnerabilidade encontrada em aplicações. SQL Injection. De maneira simples como construir uma arquitetura de infraestrutura para melhor proteção do banco de dados e regras a serem seguidas nas aplicações.

1. Arquitetura de defesa e exposição
de dados por injeção
Luis Asensio

2. Mini Curriculo
Luis Asensio:
Analista e desenvolvedor de sistemas que trabalha com desenvolvimento a mais
de 14 anos. Conhecedor nas linguagens: Clipper, Delphi, .Net (asp,c# e vb.net) e
Java. Certificações em SCJP 1.4 (Java), MCPD em ASP.NET Developer 3.5
(Microsoft) e CISSP Candidate. Atualmente se dedica a desenvolvimento seguro,
onde atua como analista de processos na Editora Abril na área da Segurança da
Informação.

3. A migração dos ataques

4. A realidade está próxima de nós.

5. Exposição de dados por injeção.

6. Tipos de injeção de código:
● Injeção de HTML e JavaScript
● Injeção de SQL
● Injeção de PHP
● Injeção de HTTP
● Injeção de e-mail(SMTP)
● Injeção de inclusão de arquivos
● Injeção de Shell

7. Arquitetura de defesa

8. Como evitar esse ataque?
● Utilizar sempre queries parametrizadas;
● Conceder privilegio a objetos de banco
necessários para a aplicação;
● Evitar expor mensagens de erros com muito
detalhes;
● Utilizar stored procedure quando possível;
● Tratar envio de código de "escape"
(encoding);
● Desativar contas padrões (Ex.: SYSDBA,
SDB,Sccot, etc).

9. Conclusão
Não existe a bala de prata para resolver
todas as vulnerabilidades.
O desenvolvedor tem que
atualizar-se sobre
vulnerabilidades que podem
expor o seu sistema. https://www.owasp.org

10. Obrigado!
Contatos:
Twitter: LuisAsensio
Blog: http://lasensio.blogspot.
com
E-mail: asensio@ig.com.br