OWASP API Security Top 10:2023 para PenTesters

Como usar a lista

O tópico 'Como usar a lista' é uma parte central do trabalho no OWASP API Security Top 10 2023. É aconselhável dividi-lo em três perguntas: qual é a entrada, que decisão se deseja tomar e que prova é suficiente para a justificar. Estas perguntas impedem o uso automático de uma ferramenta sem a compreensão do objetivo.

Na prática, registe BOLA, Broken Authentication, Object Property Authorization, Unrestricted Resource Consumption, Sensitive Business Flows, compare com o comportamento esperado e defina pelo menos um Pivot. O resultado deve ser verificável por outro analista, incluindo limitações e próximos passos.

Riscos de autorização

No OWASP API Security Top 10 2023, identidade e autorização são duas questões diferentes: quem é o cliente e o que lhe é permitido fazer com o recurso. Verificam-se Roles, Claims, Session, propriedade do Objeto e alterações ao longo do ciclo de vida, e não se contenta com o facto de o utilizador estar 'logado'.

Uma matriz de teste inclui um utilizador anónimo, um utilizador normal, o proprietário do objeto, outro utilizador e um administrador. Para cada ação, compara-se o Response e o impacto no lado do servidor. A alteração de um identificador ou Header é apenas um meio de teste; a prova é que o servidor aprovou ou rejeitou uma ação em violação da política.

Autenticação e consumo de recursos

No OWASP API Security Top 10 2023, identidade e autorização são duas questões diferentes: quem é o cliente e o que lhe é permitido fazer com o recurso. Verificam-se Roles, Claims, Session, propriedade do Objeto e alterações ao longo do ciclo de vida, e não se contenta com o facto de o utilizador estar 'logado'.

Uma matriz de teste inclui um utilizador anónimo, um utilizador normal, o proprietário do objeto, outro utilizador e um administrador. Para cada ação, compara-se o Response e o impacto no lado do servidor. A alteração de um identificador ou Header é apenas um meio de teste; a prova é que o servidor aprovou ou rejeitou uma ação em violação da política.

Fluxos de negócio e inventário

O tópico 'Fluxos de negócio e Inventário' é uma parte central do trabalho no OWASP API Security Top 10 2023. É aconselhável dividi-lo em três perguntas: qual é a entrada, que decisão se deseja tomar e que prova é suficiente para a justificar. Estas perguntas impedem o uso automático de uma ferramenta sem a compreensão do objetivo.

Na prática, registe BOLA, Broken Authentication, Object Property Authorization, Unrestricted Resource Consumption, Sensitive Business Flows, compare com o comportamento esperado e defina pelo menos um Pivot. O resultado deve ser verificável por outro analista, incluindo limitações e próximos passos.

Mapeamento para Plano de Teste

Um teste profissional para o OWASP API Security Top 10 2023 começa com condições de sucesso e falha. Define-se um Caso positivo, um Caso negativo, um Caso limite e uma atividade legítima semelhante. Desta forma, podem ser identificados tanto Falsos Negativos como Falsos Positivos.

Num ambiente autorizado, utiliza-se uma ação mínima que prove a alegação sem causar danos. Guarda-se Input, Output, tempo e versão, e após a correção, realiza-se um Retest no mesmo cenário e verifica-se também a Regressão em funções próximas.

Pontos de teste únicos

Neste tópico, é recomendável construir antecipadamente um mapa de evidências focado. Os principais pontos de teste são: BOLA, Broken Authentication, Object Property Authorization, Unrestricted Resource Consumption, Sensitive Business Flows, Unsafe Consumption. A lista não é um Checklist automático; cada item é selecionado porque pode ligar uma entidade, ação e tempo ou explicar um comportamento legítimo.

• BOLA: Defina o valor esperado, o que será considerado uma anomalia e qual fonte adicional irá verificar a descoberta.
• Broken Authentication: Defina o valor esperado, o que será considerado uma anomalia e qual fonte adicional irá verificar a descoberta.
• Object Property Authorization: Defina o valor esperado, o que será considerado uma anomalia e qual fonte adicional irá verificar a descoberta.
• Unrestricted Resource Consumption: Defina o valor esperado, o que será considerado uma anomalia e qual fonte adicional irá verificar a descoberta.
• Sensitive Business Flows: Defina o valor esperado, o que será considerado uma anomalia e qual fonte adicional irá verificar a descoberta.
• Unsafe Consumption: Defina o valor esperado, o que será considerado uma anomalia e qual fonte adicional irá verificar a descoberta.

Quando um dos pontos de foco não está disponível, a lacuna deve ser documentada e uma alternativa deve ser escolhida. Por exemplo, se um identificador de Processo for instável, pode-se usar tempo, Host, User e Parent; se o Payload for encriptado, usam-se Metadados, volume, frequência e o contexto TLS/DNS.

Processo de trabalho recomendado

1. Defina o Scope e uma questão de trabalho sobre o OWASP API Security Top 10 2023.
2. Registe as fontes de dados e as provas necessárias: BOLA, Broken Authentication, Object Property Authorization, Unrestricted Resource Consumption.
3. Crie uma Baseline curta de comportamento correto ou resultado esperado.
4. Realize o teste mínimo num ambiente de laboratório e guarde o tempo, a entrada e a saída.
5. Construa uma Timeline ou tabela de comparação e separe facto de interpretação.
6. Realize um Pivot para uma fonte adicional para confirmar ou refutar a explicação inicial.
7. Resuma a decisão, limitações, ação recomendada e critério de Retest.

Cenário prático

O cenário escolhido é a tabela Categoria-para-Teste-para-Correção. O objetivo do exercício não é provar a capacidade de ataque, mas sim praticar a recolha, comparação e documentação de forma segura. Antes de iniciar o trabalho, definem-se dados simulados, uma janela de tempo e um resultado esperado.

No final do exercício, deve ser apresentado um resultado que outro analista ou testador possa rever: uma imagem ou Export da prova, uma Timeline curta, uma suposição inicial, uma prova de verificação, uma limitação e uma recomendação. Quando não há prova suficiente, a conclusão correta é que o cenário não foi provado.

Checklist prático

• ✓Verifique e documente: Role e session.
• ✓Verifique e documente: Endpoint e method.
• ✓Verifique e documente: Request/Response.
• ✓Verifique e documente: Object identifier.
• ✓Verifique e documente: Server-side effect.
• ✓Verifique e documente: Control expected e remediation.
• ✓Indique Time zone, versão da ferramenta e hora de recolha.
• ✓Guarde os dados brutos antes de filtrar ou alterar.
• ✓Escreva o que a descoberta prova e o que ainda não é conhecido.
• ✓Defina o proprietário e a ação de acompanhamento com uma data.

Erros comuns

• Verificar apenas o Status code.
• Depender de alterações do lado do Cliente.
• Usar um Payload perigoso.
• Não testar diferentes Roles.
• Ignorar a lógica de negócio.
• Reportar sem Request/Response limpos.

Resumo e CTA

OWASP API Security Top 10:2023 para PenTesters é um tópico que conecta conhecimento técnico com disciplina de trabalho. Comece com uma pergunta, recolha apenas evidências relevantes, mantenha o contexto e o tempo, e escolha uma ação que possa ser justificada e reavaliada.

No curso Cybersecurity & AI da HPI, estes princípios são praticados através de sistemas, logs e laboratórios. O próximo passo natural é passar para os artigos relacionados, realizar o exercício de laboratório e guardar o resultado como parte de um portfólio profissional.

Perguntas frequentes