OWASP Top 10:2025 — Um Guia para Testadores de Penetração

Como usar o Top 10

O tópico 'Como usar o Top 10' é uma parte central do trabalho no OWASP Top 10 2025. É recomendável dividi-lo em três perguntas: qual é a entrada, que decisão se quer tomar e que evidência é suficiente para justificá-la. Estas perguntas evitam o uso automático de ferramentas sem compreender o objetivo.

Na prática, anote A01 Broken Access Control, A02 Security Misconfiguration, A03 Software Supply Chain Failures, A05 Injection, A07 Authentication Failures, compare com o comportamento esperado e defina pelo menos um Pivot. O resultado deve ser verificável por outro analista, incluindo limitações e próximos passos.

As categorias e a sua importância para o testador

O tópico 'As categorias e a sua importância para o testador' é uma parte central do trabalho no OWASP Top 10 2025. É recomendável dividi-lo em três perguntas: qual é a entrada, que decisão se quer tomar e que evidência é suficiente para justificá-la. Estas perguntas evitam o uso automático de ferramentas sem compreender o objetivo.

Na prática, anote A01 Broken Access Control, A02 Security Misconfiguration, A03 Software Supply Chain Failures, A05 Injection, A07 Authentication Failures, compare com o comportamento esperado e defina pelo menos um Pivot. O resultado deve ser verificável por outro analista, incluindo limitações e próximos passos.

Mapeamento de testes e evidências

Nesta fase, define-se quais as evidências necessárias para responder à pergunta de investigação. Para o OWASP Top 10 2025, os pontos básicos são Role e sessão, Endpoint e método, Request/Response, identificador de objeto. Para cada fonte, documentam-se o proprietário, o período de retenção, o fuso horário, o atraso na receção e os campos que podem estar em falta.

A qualidade da recolha não é medida pelo facto de o log 'chegar'. É necessário verificar a Completeness, Latency, Parsing, Duplicate events e a sincronização de tempo. Um teste Canary ou um evento de laboratório conhecido permite verificar se a operação apareceu na origem, passou pelo Pipeline e pode ser pesquisada nos campos corretos.

Relação com WSTG e ASVS

O tópico 'Relação com WSTG e ASVS' é uma parte central do trabalho no OWASP Top 10 2025. É recomendável dividi-lo em três perguntas: qual é a entrada, que decisão se quer tomar e que evidência é suficiente para justificá-la. Estas perguntas evitam o uso automático de ferramentas sem compreender o objetivo.

Na prática, anote A01 Broken Access Control, A02 Security Misconfiguration, A03 Software Supply Chain Failures, A05 Injection, A07 Authentication Failures, compare com o comportamento esperado e defina pelo menos um Pivot. O resultado deve ser verificável por outro analista, incluindo limitações e próximos passos.

Limitações da lista

O tópico 'Limitações da lista' é uma parte central do trabalho no OWASP Top 10 2025. É recomendável dividi-lo em três perguntas: qual é a entrada, que decisão se quer tomar e que evidência é suficiente para justificá-la. Estas perguntas evitam o uso automático de ferramentas sem compreender o objetivo.

Na prática, anote A01 Broken Access Control, A02 Security Misconfiguration, A03 Software Supply Chain Failures, A05 Injection, A07 Authentication Failures, compare com o comportamento esperado e defina pelo menos um Pivot. O resultado deve ser verificável por outro analista, incluindo limitações e próximos passos.

Pontos de teste únicos

Neste tópico, recomenda-se construir antecipadamente um mapa de evidências focado. Os principais pontos de teste são: A01 Broken Access Control, A02 Security Misconfiguration, A03 Software Supply Chain Failures, A05 Injection, A07 Authentication Failures, A10 Mishandling of Exceptional Conditions. A lista não é um Checklist automático; cada item é selecionado porque pode ligar uma entidade, uma ação e um tempo, ou explicar um comportamento legítimo.

• A01 Broken Access Control: Defina o valor esperado, o que será considerado excecional e qual fonte adicional confirmará a descoberta.
• A02 Security Misconfiguration: Defina o valor esperado, o que será considerado excecional e qual fonte adicional confirmará a descoberta.
• A03 Software Supply Chain Failures: Defina o valor esperado, o que será considerado excecional e qual fonte adicional confirmará a descoberta.
• A05 Injection: Defina o valor esperado, o que será considerado excecional e qual fonte adicional confirmará a descoberta.
• A07 Authentication Failures: Defina o valor esperado, o que será considerado excecional e qual fonte adicional confirmará a descoberta.
• A10 Mishandling of Exceptional Conditions: Defina o valor esperado, o que será considerado excecional e qual fonte adicional confirmará a descoberta.

Quando um dos focos não está disponível, deve-se documentar a lacuna e escolher uma alternativa. Por exemplo, se o identificador de processo não for estável, pode-se usar tempo, Host, User e Parent; se o Payload estiver encriptado, usam-se Metadados, volume, frequência e contexto TLS/DNS.

Fluxo de trabalho recomendado

1. Defina o Scope e uma questão de trabalho sobre o OWASP Top 10 2025.
2. Registe as fontes de dados e as evidências necessárias: A01 Broken Access Control, A02 Security Misconfiguration, A03 Software Supply Chain Failures, A05 Injection.
3. Crie uma Baseline curta de comportamento normal ou resultado esperado.
4. Realize o teste mínimo num ambiente de laboratório e guarde o tempo, entrada e saída.
5. Construa uma Timeline ou tabela de comparação e separe o facto da interpretação.
6. Faça um Pivot para uma fonte adicional para confirmar ou refutar a explicação inicial.
7. Resuma a decisão, as limitações, a ação recomendada e o critério de Reteste.

Cenário prático

O cenário escolhido é a tabela de Risco-para-Teste-para-Correção. O objetivo do exercício não é provar a capacidade de ataque, mas sim praticar a recolha, comparação e documentação de forma segura. Antes de começar, definem-se dados simulados, uma janela de tempo e um resultado esperado.

No final do exercício, deve ser apresentado um resultado que outro analista ou testador possa rever: uma captura de ecrã ou Export da evidência, uma Timeline curta, uma hipótese inicial, uma evidência de confirmação, uma limitação e uma recomendação. Quando não há evidência suficiente, a conclusão correta é que o cenário não foi provado.

Checklist prático

• ✓Verifique e documente: Role e sessão.
• ✓Verifique e documente: Endpoint e método.
• ✓Verifique e documente: Request/Response.
• ✓Verifique e documente: Object identifier.
• ✓Verifique e documente: Server-side effect.
• ✓Verifique e documente: Control expected e remediation.
• ✓Indique o Time zone, a versão da ferramenta e a hora da recolha.
• ✓Guarde os dados brutos antes de filtrar ou modificar.
• ✓Escreva o que a descoberta prova e o que ainda não é conhecido.
• ✓Defina o proprietário e a ação de acompanhamento com uma data.

Erros comuns

• Verificar apenas o Status code.
• Depender de uma alteração Client-side.
• Usar um Payload perigoso.
• Não verificar diferentes Roles.
• Ignorar a lógica de negócios.
• Reportar sem Request/Response limpos.

Resumo e CTA

OWASP Top 10:2025 — Um guia para testadores de penetração é um tópico que conecta conhecimento técnico à disciplina de trabalho. Comece com uma pergunta, recolha apenas evidências relevantes, mantenha o contexto e o tempo, e escolha uma ação que possa ser justificada e testada novamente.

No programa Cybersecurity & AI da HPI, estes princípios são praticados usando sistemas, logs e laboratórios. Um passo natural é passar para os artigos relacionados, realizar o exercício de laboratório e guardar o resultado como parte de um portfólio profissional.

Perguntas frequentes