Seu próximo nível começa aqui
Seu desenvolvimento não pode ter limites. Garanta sua Assinatura Ilimitada e libere uma preparação completa com os melhores professores do Brasil.
A equipe de segurança da informação do TJRJ realizou um pentest em uma aplicação web re...
A equipe de segurança da informação do TJRJ realizou um pentest em uma aplicação web responsável pelo gerenciamento de documentos. O pentester conseguiu manipular parâmetros de uma requisição HTTP de forma a injetar um código Javascript malicioso no servidor web. O código injetado foi inadvertidamente inserido pelo servidor em meio a uma página web devolvida a um usuário logado. O navegador web do usuário logado executou o código malicioso e permitiu a exfiltração de dados sensíveis.
Uma mitigação eficaz e imediata para esse tipo de ataque, em conformidade com as recomendações do OWASP Top 10, é:
A
implementar um sistema de autenticação multifator (MFA) para todos os usuários da aplicação;
B
implementar um Web Application Firewall (WAF) com regras de detecção de ataques XSS;
C
realizar uma análise estática do código-fonte da aplicação para identificar e corrigir vulnerabilidades;
D
utilizar Content Security Policy (CSP) para restringir as fontes de onde o navegador pode carregar recursos;
E
aplicar os devidos patches de segurança no servidor web e bloquear o carregamento da página em navegadores inseguros.