- Início
- Soluções
- Análise de Vulnerabilidades
- Aplicações web
Análise de Vulnerabilidades · Recurso
Scan de vulnerabilidades em aplicações web
Sites, portais de clientes, lojas virtuais e sistemas web verificados contra as falhas mais comuns em aplicações, antes que alguém as encontre por você.
O que é
Scan de vulnerabilidades em aplicações web, sem complicação
Aplicações web ficam acessíveis pela internet e lidam com dados de clientes, pedidos e pagamentos. Por isso estão entre os alvos mais visados. O scan de aplicações web é uma varredura que interage com o sistema em funcionamento, como um usuário faria, enviando requisições e analisando as respostas para identificar falhas.
A referência usada é o OWASP Top 10, lista mantida pela OWASP, uma fundação aberta dedicada à segurança de aplicações, com as categorias de risco mais relevantes. Entre elas estão o controle de acesso falho, as falhas de injeção (como SQL injection e cross-site scripting), as configurações inseguras, os componentes desatualizados e as falhas de autenticação.
A varredura também verifica cabeçalhos de segurança, certificados e protocolos de criptografia, páginas administrativas expostas e versões de bibliotecas e frameworks. Ela pode ser feita sem login, como um visitante, ou com um usuário de teste, para alcançar as áreas restritas, onde costumam estar os dados mais sensíveis.
Como funciona
Passo a passo
- 01
Definição das aplicações
Endereços, APIs, ambientes (produção ou homologação) e usuários de teste são definidos com o seu time.
- 02
Mapeamento
A ferramenta percorre a aplicação para descobrir páginas, formulários, parâmetros e chamadas de API.
- 03
Testes automatizados
Cada ponto de entrada é testado contra as categorias de falha do OWASP Top 10 e contra configurações inseguras.
- 04
Validação e relatório
Os especialistas confirmam os achados, descartam falsos positivos e indicam a correção para o time de desenvolvimento.
Por que importa
O que muda para a sua empresa
Exposição direta na internet
Qualquer pessoa pode acessar uma aplicação pública e testá-la. Uma falha ali pode levar diretamente a dados de clientes.
Código muda a cada versão
Novas funcionalidades podem trazer novas falhas. Verificar a aplicação periodicamente acompanha esse ritmo.
Componentes de terceiros
Bibliotecas e plugins desatualizados são uma causa comum de vulnerabilidades, mesmo quando o código próprio está bem escrito.
Dados pessoais em jogo
Vazamentos por falhas em aplicações expõem dados protegidos pela LGPD e afetam a confiança dos clientes.
Na prática
Situações do dia a dia
Loja virtual antes de uma data de alto movimento
O scan encontra um plugin desatualizado no checkout e páginas administrativas acessíveis pela internet. As correções são feitas antes do pico de vendas.
Cooperativa com portal do associado
A varredura com usuário de teste revela que é possível acessar dados de outro associado alterando um número na URL. O time de desenvolvimento corrige o controle de acesso.
Empresa de software que entrega APIs a parceiros
As APIs entram nas varreduras recorrentes e cada nova versão é verificada antes de ser liberada aos parceiros.
Na Strema
Como entregamos Aplicações web
Na Análise de Vulnerabilidades, a Strema define com o seu time quais aplicações e ambientes entram no escopo, conduz a varredura e entrega os achados validados, com orientação de correção para quem desenvolve o sistema.
Para provar até onde uma falha leva, o pentest de aplicações web explora as vulnerabilidades de forma manual e controlada. E, para bloquear ataques enquanto as correções não chegam, conheça o WAF.
O scan pode ser feito em produção?
Pode, com cuidado. Alguns testes enviam muitos dados em formulários, então é comum usar um ambiente de homologação ou combinar exceções e horários com o seu time.
O scan encontra todas as falhas da aplicação?
Não. Ferramentas automatizadas encontram bem falhas técnicas conhecidas, mas têm dificuldade com falhas de lógica de negócio. Para isso o pentest manual é o caminho.
Preciso dar acesso ao código-fonte?
Não. O scan testa a aplicação em funcionamento, de fora. A análise do código é um trabalho diferente, feito quando há necessidade.
O WAF substitui o scan?
Não. O WAF bloqueia tentativas de ataque, e o scan mostra as falhas que precisam ser corrigidas no código ou na configuração. Os dois se complementam.
Continue explorando
Recursos relacionados
No blog
Todos os recursos de Análise de Vulnerabilidades
Fale conosco
Quer Aplicações web protegendo a sua empresa?
Fale com um Stremer especialista hoje mesmo.
- Telefone4003-7886
- Horário de atendimentoSegunda a sexta-feira, das 07h às 19h.
- Belo HorizonteAvenida Sebastião de Brito, 525
Dona Clara, Belo Horizonte - MG - São PauloRua Gomes de Carvalho, 1629
Vila Olímpia, São Paulo - SP