Pentest · Recurso
Pentest de aplicações web com metodologia OWASP
Sites, portais e APIs atacados de forma autorizada, com testes manuais que encontram o que as ferramentas automáticas não veem.
O que é
Pentest de aplicações web com metodologia OWASP, sem complicação
O pentest de aplicações web é o ataque simulado a sistemas acessados pelo navegador ou por API: lojas virtuais, portais de clientes, sistemas internos publicados e integrações com parceiros. O objetivo é descobrir se alguém consegue acessar dados ou funções a que não deveria ter acesso.
O trabalho segue as diretrizes da OWASP, fundação aberta de segurança de aplicações, cujo OWASP Top 10 reúne as categorias de risco mais relevantes e cujo guia de testes detalha como verificar cada uma. São avaliados autenticação, gestão de sessão, controle de acesso, validação de entradas (injeção de comandos e SQL, cross-site scripting), exposição de dados e configuração.
A diferença para uma varredura automática está no trabalho manual. Os especialistas entendem a lógica do negócio e testam abusos dela: mudar o identificador de um pedido para ver o de outro cliente, pular uma etapa de pagamento, acumular um desconto que não deveria ser possível. Quando encontram uma falha, avaliam até onde ela leva, do acesso não autorizado à extração de dados sensíveis e à persistência do acesso.
Como funciona
Passo a passo
- 01
Entendimento da aplicação
Perfis de usuário, fluxos críticos, APIs e ambiente de teste são definidos com o seu time.
- 02
Mapeamento
Os especialistas percorrem a aplicação para mapear páginas, parâmetros, chamadas de API e regras de negócio.
- 03
Testes manuais e automatizados
Ferramentas apoiam a busca de falhas técnicas, e os testes manuais exploram controle de acesso e lógica de negócio.
- 04
Exploração controlada
As falhas encontradas são exploradas até o ponto necessário para provar o impacto, sem alterar ou destruir dados reais.
Por que importa
O que muda para a sua empresa
Falhas de lógica passam despercebidas
Scanners não sabem que um cliente não deveria ver o pedido de outro. Esse tipo de falha só aparece com teste manual.
Dados de clientes expostos
Aplicações web costumam guardar dados pessoais e financeiros. Uma falha pode virar um vazamento com impacto na LGPD e na reputação.
APIs ampliam a superfície
Aplicativos e integrações usam APIs que nem sempre têm o mesmo cuidado da interface visível.
Exigência de clientes e parceiros
Empresas que integram sistemas ou processam pagamentos são cada vez mais cobradas a apresentar um teste de segurança da aplicação.
Na prática
Situações do dia a dia
Fintech com aplicativo e API
O teste mostra que a API aceita consultas de saldo de outras contas quando o identificador é alterado. O controle de acesso é corrigido antes de um incidente.
Loja virtual de médio porte
Os especialistas encontram uma forma de aplicar o mesmo cupom várias vezes no checkout. A regra é corrigida no código.
Portal de RH com dados de colaboradores
Uma falha de injeção em um campo de busca permite ler a base de dados. O time de desenvolvimento corrige a validação e o reteste confirma.
Na Strema
Como entregamos Aplicações web
No Pentest da Strema, a aplicação é testada por especialistas seguindo as diretrizes da OWASP, com escopo, ambiente e perfis de usuário definidos com o seu time e com quem desenvolve a aplicação.
Para verificar as aplicações com mais frequência entre um pentest e outro, existe o scan de aplicações web da Análise de Vulnerabilidades. E, para proteger a aplicação em produção enquanto as correções não ficam prontas, conheça o WAF.
O teste é feito em produção ou em homologação?
O ideal é um ambiente de homologação parecido com o de produção. Quando o teste precisa ser em produção, os limites e os horários são combinados para não afetar clientes.
Preciso fornecer usuários de teste?
É recomendado. Com usuários de perfis diferentes, os especialistas verificam se um perfil consegue acessar o que pertence a outro, que é uma das falhas mais comuns.
O pentest testa aplicativos de celular?
As APIs usadas pelo aplicativo podem entrar no escopo. O teste do aplicativo em si é um trabalho específico, definido caso a caso.
Qual a diferença para o scan de aplicações web?
O scan é automatizado, amplo e pode ser recorrente. O pentest é manual, mais profundo e prova o impacto explorando a falha, inclusive de lógica de negócio.
Continue explorando
Recursos relacionados
No blog
Todos os recursos de Pentest
Fale conosco
Quer Aplicações web protegendo a sua empresa?
Fale com um Stremer especialista hoje mesmo.
- Telefone4003-7886
- Horário de atendimentoSegunda a sexta-feira, das 07h às 19h.
- Belo HorizonteAvenida Sebastião de Brito, 525
Dona Clara, Belo Horizonte - MG - São PauloRua Gomes de Carvalho, 1629
Vila Olímpia, São Paulo - SP