Sabemos que não existe aplicação 100% segura, mas sempre há maneiras de evitar problemas. A utilização do ciclo de vida de desenvolvimento seguro de software pode auxiliar bastante, independente da linguagem ou framework, entretanto não é a única solução para todos os problemas. Entender melhor quais são as principais falhas e vulnerabilidades também faz parte do skills de um desenvolvedor. A identificação de problemas ou falhas durantes a construção dos softwares, resulta em mais proteção e segurança. Portanto, é necessário saber quais são as principais técnicas e ferramentas de invasão, como funcionam e quando podem ser utilizadas! Conhecer melhor o adversário permite avaliar nossas fragilidades.

1. Web hacking
Desenvolva na defesa,
jogando no ataque
20 anos de Java - 20/06/2015

2. Eu sou@ThiagoDieb
Gerente de Desenvolvimento
Programador por vocação
Fanático por processos
Curioso por Segurança

3. 1
O que esperar ?

4. “
Conceito de segurança
não se restringe a uma
linguagem ou tecnologia.

5. Fonte: CBS News - https://cbsnews.com

6. 2
Cenário de risco

7. Fonte: National Vulnerability Database (NVD) - https://web.nvd.nist.gov

8. Fonte: National Vulnerability Database (NVD) - https://web.nvd.nist.gov

9. 3
Reflexão

10. O que
aconteceu ?

11. O que aconteceu ?
● Não houve estudo prévio
sobre o ADVERSÁRIO

12. O que aconteceu ?
● Não houve estudo préviso
sobre o ADVERSÁRIO
● Esqueceram da ESTRATÉGIA
de jogo

13. “
Aprenda a se defender
conhecendo seu
ADVERSÁRIO

14. “
Seremos sempre
surpreendidos se …

15. 4
Vulnerabilidades

16. SQL
Injection
LFD / LFIXSS

17. XSS - Cross-site
scripting
Vulnerabilidade que permite a inclusão de
código malicioso, podendo ser persistente ou
não.

18. LFD - Local File
Download / Disclosure
Normalmente utilizada para visualizar ou baixar
arquivos confidenciais do sistema.

19. SQL Injection
Falha em sistemas com banco de dados,
permitindo a insersão de instruções maliciosas
de SQL dentro de uma consulta (query).

20. 5
Proteção

21. Tudo deve
ser pra ontem
!

22. ● Redes
● Serviços
● Aplicações
● Dispositivos
● Seres Humanos

23. “
Desenvolvimento
SEGURO de software

24. ● Segurança por Padrão
● Menor Privilégio
● Controle de Acesso
● Validação de Dados
● Garantia de Integridade
● Trilhas de Auditoria

25. Microsoft SDL OpenSAMMOWASP

26. obrigado
Dúvidas ?
@thiagodieb
http://thiago.dieb.com.br
http://www.aszone.com.br