Questão FC296550
O OWASP Top 10 apresenta as categorias de riscos de segurança mais críticos de aplicações Web, verificadas durante um certo período de avaliação e serve como um guia para profissio
Frameworks de Segurança da Informação e Segurança Cibernética
CESGRANRIO · 2024
O OWASP Top 10 apresenta as categorias de riscos de segurança mais críticos de aplicações Web, verificadas durante um certo período de avaliação e serve como um guia para profissionais de segurança e desenvolvedores de sistemas. Num dos cenários de ataque apresentados na publicação de 2021, um invasor monitora uma aplicação Web que não usa nem força o uso do TLS (Transport Layer Security), o que possibilita que um invasor monitore o tráfego de rede (por exemplo, em uma rede sem fio insegura), intercepte solicitações e roube o cookie de sessão do usuário. Esse cenário de ataque é apontado na categoria de risco de segurança
- Injection
- Cryptographic Failures
- Broken Access Control
- Server Side Request Forgery
- Vulnerable and Outdated Components
Mostrar resposta e comentário
Gabarito
B
Comentário do professor
A categoria Cryptographic Failures reúne falhas relacionadas ao uso inadequado ou à ausência de criptografia que proteja dados sensíveis.
No cenário descrito, a aplicação não usa nem força o uso de TLS, deixando os dados em trânsito expostos a interceptação em redes inseguras.
Um invasor pode monitorar o tráfego, aplicar downgrade de HTTPS para HTTP e capturar os cookies de sessão, permitindo o sequestro de sessão e acesso não autorizado à conta do usuário.
Portanto, a mitigação envolve exigir TLS para todas as conexões, configurar corretamente certificados e desativar cifras/fracos, além de proteger cookies (Secure, HttpOnly, SameSite) e validar links internos.
Conteúdo do catálogo FC Concursos · Atualizado em