Page 17 - newDATAmagazine | 14>06>2022

categorias de riscos. Todo o processo é
Fonte: owasp.org
A primeira versão desta lista data de 2003. A
partir desta data, a OWASP tem procurado
manter esta listagem atualizada numa base
regular (2004, 2007, 2010, 2013, 2017 e 2021).
A versão mais recente é a OWASP Top 10 de
2021.
Um dos aspetos fundamentais do OWASP
Top 10 é a forma híbrida como o mesmo é
construído, através de dois componentes
principais.
O PRIMEIRO é uma chamada para a
contribuição de dados por parte das
organizações que recolheram sobre as
vulnerabilidades das aplicações web
encontradas em diversos processos (para a
versão mais recente foram analisados os
dados de mais de 500 mil aplicações, para as
quais contribuiu igualmente uma empresa
portuguesa – a Probely). Estes dados vão
servir para identificar 8 das 10 categorias de
riscos que compõem o OWASP Top 10.
O SEGUNDO componente baseia-se num
inquérito realizado à indústria, o que permite
aos profissionais na linha da frente votarem no
que consideram ser os riscos mais elevados
ou emergentes, que podem não estar
devidamente refletidos nos dados. Deste
inquérito resultam as restantes duas
bastante transparente e toda informação
sobre a metodologia usada, bem como os
dados, pode ser encontrada diretamente na
página do projeto que encontra online. Todo
este processo resulta na mais recente versão
do OWASP Top 10 de 2021.
OWASP Top 10 versão 2021
A versão mais recente do OWASP Top 10 é
de 2021. À semelhança do que acontecia com
as anteriores versões, são reportadas as
principais categorias de riscos para as
aplicações web. A lista resultante corresponde
às principais categorias de riscos que devem
ser considerados pelos programadores
aquando da conceção segura de aplicações
web.
Como sempre, esta nova lista trouxe
algumas alterações relativamente à versão
anterior (2017). Estas traduziram-se em
alterações de relevância de algumas das
categorias de riscos, na introdução de novas
categorias e na alteração da designação de
outras.
Uma das alterações mais profundas nesta
nova versão respeita à perda significativa de
relevância da categoria “Injeção” que, pela
primeira vez desde a versão de 2010, desceu
do primeiro lugar que ocupava para a terceira
posição. A categoria de “Quebra de
Autenticação”, que ocupava o segundo lugar
em 2017, também desceu para o sétimo posto,
tendo sido renomeada para “Falhas na
Identificação e Autenticação”.
Foram igualmente criadas três novas
categorias de riscos nesta nova versão de
2021: “Desenho Inseguro”, “Falhas na
Integridade do Software e dos Dados” e
“Falsificação de Pedidos do Lado do Servidor”.
Vamos, seguidamente, olhar para cada uma
destas categorias com mais detalhe.
newDATAmagazine.com 17