Análise black-box de ferramentas de segurança na Web

2005

The social inclusion of disabled people demands an realization of resources to become viable and effective. This article presents the question of accessibility for the Brazilian Electronic Government and a Brazilian tool of accessibility validation. An exploratory research was carried through, taking for base the homepage of a governmental site showing that there is a difference in the results obtained

Revista De Engenharia E Tecnologia, 2010

A Forense Computacional é uma área que tem recebido significativa atenção atualmente. A investigação e extração de vestígios eletrônicos em ambientes computacionais com a finalidade de tentar reconstituir eventos e verificar se o computador foi utilizado para atos ilícitos não se trata de um processo trivial. Além de noções de Forense e Anti-forense Computacional, neste trabalho são analisadas ferramentas que podem ser utilizadas para auxiliar o perito na coleta e análise de evidências digitais.

Projetos e Dissertações em Sistemas de Informação e Gestão do Conhecimento, 2015

Esta pesquisa teve como objetivo identificar as principais vulnerabilidades em aplicacoes web e avaliar o desempenho de ferramentas open source de analise desse tipo de falha. Inicialmente, foi feita uma pesquisa bibliografica e documental para identificar os principais riscos de seguranca em sites da web , assim como as solucoes open source mais recomendadas para detectar essas vulnerabilidades. A seguir, foi desenvolvido um experimento visando a comparacao do desempenho das solucoes open source selecionadas em relacao a capacidade de deteccao dos principais riscos identificados. Para realizacao do experimento, cinco softwares (OWASP ZAP, SQLMap, Nikto, Skipfish, W3af) foram instalados em um ambiente virtualizado e testados contra um sistema web, contendo falhas propositalmente inseridas para fins de pesquisa. O documento Top Ten OWASP foi tomado como referencia para selecao das categorias de risco testadas. Os resultados encontrados mostram que a ferramenta W3af se saiu melhor d...

Computer Science and Engineering, 2012

The increasing number of intrusions and data thefts on online systems is one of the triggers of the gro wing concern about security inside organizations. Nowadays, dynamic and extensible detection tools are required and critical to detect and diagnose vulnerabilities in Web systems. In this paper we present the development and evaluation of a vulnerability scanner for online systems. Unlike most existing tools, it is free and open source, available at SourceFo rge, and has a modular and extensible arch itecture. The achieved results show that the proposed tool, called Un iscan, is able to better detect and diagnose vulnerabilit ies such as LFI, RFI and RCE.

Anais do Workshop de Segurança Cibernética em Dispositivos Conectados (WSCDC), 2019

Uma das ameças atualmente mais abundantes no ambiente computacional são os malwares. Uma das formas de preveni-los ou contra-atacá-los é realizando-se uma análise estática dos códigos maliciosos, visando entender a lógica de funcionamento, os algoritmos e especificações utilizadas sem arriscar-se à exposição de executar o código malicioso. Diversas ferramentas disponíveis na literatura e no mercado podem ser usadas nesse tipo de análise. Neste artigo, fazemos uma breve comparação entre o IDA Pro e o Ghidra. Apesar de ser uma ferramenta recentemente lançada, concluímos que o Ghidra é excelente para análise estática de malware.

Ákila Britto, 2016

Centro universitário Leonardo da Vinci-UNIASSELVI Superior Tecnológico em Segurança no Trabalho (SEG 0218) Paper sexto semestre 06/06/2016 Orientadora: Caroline Oliveira RESUMO Uma explanação sobre a Gestão de segurança na linha de produção, suas aplicações e formas de detecção assim como a identificação de falhas, efetuada de maneira teórica e pratica trazendo informações sobre controle estatístico e ferramentas de análise. Palavras-chave Gestão de Segurança, Ferramentas de análise, Controle estatístico. 1 INTRODUÇÃO A proposta do presente trabalho é analisar estatisticamente a linha de produção de uma indústria local, no intuito de discutir a aplicabilidade, controle e eficiência da mesma, tendo como referência a empresa Giga Plas em Feira de Santana-Ba. Para tal pretende-se avaliar os elementos do processo de produção-máquinas, funcionários, tempo, etc.-junto a sua produtividade média diária e os dados observados a fim de identificar variâncias ou linearidades. Sendo assim, é de grande importância para a empresa o conhecimento do processo de produção descrito pelas ferramentas de análise e controle estatístico com a finalidade de identificar possíveis falhas operacionais ou mecânicas. O trabalho tem por meta ampliar o conhecimento especifico da gestão de segurança para os profissionais da área de segurança do trabalho auxiliando em sua formação. As coletas de informações foram dadas através de levantamentos bibliográficos em livros disponíveis na Biblioteca da UNIASSELVI e meio digital. A obtenção dos dados estatísticos da produção por visitas técnicas, analisando a produção em comparativo com os dados coletados aplicando as ferramentas de controle estatístico. O texto foi estruturado da seguinte forma: inicialmente desenvolveu-se uma discussão teórica sobre os conceitos de gestão de segurança, ferramentas de analise e controle estatístico para embasar a discussão do processo de produção observado.

2011

The security of software systems is mandatory in current software development scenario. It requires expertise in several areas of knowledge and includes the study of malicious faults, in order to know them and use this knowledge to allow providing computer systems ability to detect and avoid them without compromising the security required by the users. This paper presents the design and development process of a tool that is able to inject attacks in Web applications aims to use it to evaluate the security of the applications. Resumo. A busca por sistemas seguros é uma necessidade no cenário de software atual. A segurança de sistemas computacionais exige conhecimentos específicos em diversas áreas de conhecimento e inclui o estudo de falhas maliciosas, para que, conhecendo-as, seja possível prover aos sistemas computacionais capacidade de detectá-las e evitá-las sem comprometer a segurança exigida pelos usuários. Este artigo apresenta o projeto e o processo de desenvolvimento de uma ferramenta capaz de injetar ataques em aplicações Web para utilização em avaliações de segurança de aplicações.

Revista Tecnologia e Sociedade

A mineração de opinião também conhecida como análise de sentimentos é uma área em constante evolução responsável por analisar opiniões sobre uma determinada entidade, serviço ou produto. Este trabalho propõe-se a criar um protocolo para comparar diferentes ferramentas que realizam a mineração de opinião nas redes sociais. Com base na literatura de apoio foi concebido o protocolo comparativo (constituído por sessenta questões) considerando critérios de recursos, usabilidade e características inerentes à tarefa de mineração de opiniões. Na sequência foram estudas, testadas e selecionadas seis ferramentas que foram comparadas pelos critérios do protocolo proposto. Como resultado foi possível identificar que a ferramenta Seekr destacou-se perante as outras, principalmente por disponibilizar a análise em diversas redes sociais em tempo real e por permitir que a classificação da opinião seja realizada com o apoio de um analista. Por fim este trabalho julga de extrema importância que o est...

The use of open standards and integrative nature are features that made Web Services an interesting area to academic research and to industry. This chapter introduces the concepts behind the Service Oriented Architecture, Web Services, in particular. This text shows, through a use case, the benefits of this architecture and its security challenges. Afterwards, we present some research projects and technologies that deal with these security challenges.

Você pode discutir sobre este livro no Fórum da Casa do Código: . Caso você deseje submeter alguma errata ou sugestão, acesse . Este já é o segundo livro que escrevo pela editora Casa do Código. Escrever um livro não é fácil. É um enorme desafio, mas um muito prazeroso e que vale a pena, pois, afinal, você está contribuindo para o aprendizado de muitas pessoas. Para mim, ensinar é uma maneira de mudar a vida de uma pessoa, e essa pessoa mudar a vida de outras, com a aplicação e o repasse do conhecimento adquirido. Gostaria de agradecer a editora Casa do Código pela oportunidade de compartilhar meus conhecimentos. A meus amigos e familiares que me incentivaram e me deram apoio. E também a minha esposa Luanna, pela paciência, apoio e por sempre me incentivar, motivar e acreditar que sou capaz. Eu me chamo Rodrigo da Silva Ferreira Caneppele, sou bacharel em Sistemas de Informação pela Universidade Católica de Brasília e trabalho como desenvolvedor de software desde 2008, tendo grande experiência com análise, desenvolvimento e arquitetura de sistemas. Possuo as certificações SCJP, SCWCD, CSM, OCE-JPAD, OCE-EJBD e OCE-WSD. Desde 2012, trabalho na Caelum como desenvolvedor e instrutor, ministrando treinamentos de Java, Java EE, PHP, front-end e Agile. Como desenvolvedor de software, sempre me preocupei bastante com a questão da segurança, e acredito que todo desenvolvedor deveria estudar sobre o assunto, pelo menos para ter noções básicas. Para assim, não delegar tal preocupação apenas para os arquitetos ou especialistas em segurança da informação, pois boa parte das vulnerabilidades presentes nos softwares é gerada por descuidos dos próprios desenvolvedores ao codificarem suas funcionalidades. Ultimamente, tenho pesquisado bastante a respeito desse assunto e, neste livro, pretendo transmitir todo o conhecimento adquirido nos meus estudos e nas minhas experiências em projetos nos quais trabalhei ao longo da minha carreira profissional. Segurança é um tema muito importante. Construir uma aplicação Web segura é uma tarefa bem difícil hoje em dia, pois existem diversos tipos de ataques que podem ser realizados contra ela, sendo que novas vulnerabilidades e ataques vão surgindo com o passar do tempo. Muitos ataques estão relacionados com vulnerabilidades presentes na infraestrutura da aplicação. É bem comum encontrarmos nosso ambiente de produção com softwares desatualizados, como por exemplo, o Sistema Operacional, o SGBD e o Servidor de Aplicações. Mas uma grande parte dos ataques ocorre por conta de vulnerabilidades presentes na própria aplicação, sendo responsabilidade dos desenvolvedores e arquitetos conhecer tais fraquezas e como fazer para evitá-las. Neste livro, vou focar nos ataques relacionados com vulnerabilidades presentes na própria aplicação. Vou explicar de maneira detalhada como funcionam os ataques, como verificar se sua aplicação está vulnerável a eles, e como fazer para corrigir tais inseguranças. Falarei de ataques como: SQL Injection, Cross-Site Scripting (XSS), Cross-Site Request Forgery (CSRF), Session Hijacking, dentre outros. Em cada capítulo, focarei em um tipo de ataque, explicando como funciona e exemplificando com códigos. Você verá como fazer para testar se sua aplicação está vulnerável a ele, e mostrarei como corrigir tal vulnerabilidade. O livro é indicado para desenvolvedores Web, independente da INTRODUÇÃO Público-alvo '; delete from usuarios; Repare como o comando anterior é bem pequeno e simples, sendo inclusive até fácil de ser memorizado. Mas não é o fato do ataque ser simples de realizar que o torna pouco prejudicial. Muito pelo contrário, esse ataque pode gerar danos catastróficos para uma empresa. Repare novamente no comando anterior e perceba que ele tem uma instrução SQL que serve para apagar todos os registros da tabela de usuários da aplicação. Claro, isso assumindo que o nome 1.2 COMO FUNCIONA O SQL INJECTION? 4 1.2 COMO FUNCIONA O SQL INJECTION? ' or 1 or 'a' = 'a E no campo de senha, digitar qualquer coisa, como por exemplo, Testando se uma aplicação está vulnerável 6 1.2 COMO FUNCIONA O SQL INJECTION?