OWASP ASVS: Padrão de Verificação de Segurança de Aplicações

O Padrão de Verificação de Segurança de Aplicações (ASVS) é uma estrutura de requisitos de segurança para aplicações web. Ele oferece três níveis de verificação (L1, L2, L3) e mais de 200 controles de segurança detalhados, organizados em capítulos que abrangem todos os aspectos da segurança de aplicações.

O L1 se aplica a todas as aplicações — controles básicos de segurança. O L2 é destinado a aplicações que lidam com dados sensíveis — a maioria dos requisitos. O L3 é destinado a aplicações de alta garantia (financeiras e de saúde), que exigem a verificação mais rigorosa. A maioria das equipes tem como objetivo o L2.

O ASVS V1 exige uma arquitetura de segurança documentada, um modelo de ameaças, limites de confiança documentados e a separação dos componentes por nível de sensibilidade. As revisões de arquitetura detectam falhas sistêmicas antes que elas se tornem problemas generalizados de implementação.

O V2 abrange requisitos de senha (comprimento mínimo, verificação de senhas comprometidas e hash seguro), gerenciamento de sessões, requisitos de autenticação multifator, segurança da recuperação de credenciais e proteção contra ataques de força bruta.

As sessões devem usar tokens criptograficamente aleatórios e com comprimento suficiente, ser invalidadas ao sair da sessão e após o tempo limite, ser protegidas contra fixação, e os cookies devem usar os atributos Secure, HttpOnly e SameSite=Strict quando aplicável.

Todo acesso a recursos deve ser autorizado no servidor. O ASVS V4 exige negação por padrão, prevenção de travessia de diretórios, prevenção de elevação vertical e horizontal de privilégios e registro das decisões de controle de acesso.

O V5 abrange a prevenção de todos os tipos de injeção: consultas parametrizadas para SQL, prevenção de injeção de comandos, análise segura de XML (prevenção de XXE), injeção de cabeçalhos HTTP e codificação da saída conforme o contexto para prevenir XSS.

As aplicações não devem expor rastreamentos de pilha ou caminhos internos aos usuários. Os eventos de segurança (falhas de autenticação, violações de controle de acesso e falhas de validação de entrada) devem ser registrados com detalhes suficientes para a investigação de incidentes, sem registrar dados sensíveis.

Os dados sensíveis devem ser identificados e classificados. Segredos e PII devem ser criptografados em repouso e em trânsito. Caches e arquivos temporários não devem armazenar dados sensíveis. Os dados devem ser eliminados quando não forem mais necessários, de acordo com as políticas de retenção.

Use o ASVS como uma lista de verificação de requisitos durante o desenvolvimento, como um plano de testes durante os testes de segurança e como uma estrutura de auditoria durante as revisões de conformidade. Atribua os controles do ASVS às equipes, acompanhe a conclusão na sua ferramenta de gerenciamento de projetos e documente as evidências de conformidade.

O ASVS estabelece correspondências com NIST 800-53, ISO 27001 e PCI-DSS. Usar o ASVS como uma linha de base de segurança de aplicações simplifica a conformidade, pois os controles atendem simultaneamente a requisitos de várias estruturas, reduzindo o esforço de avaliação duplicado.

Qual nível do OWASP ASVS é adequado para a maioria das aplicações que lidam com dados sensíveis de usuários?

O OWASP ASVS oferece uma estrutura abrangente e organizada de requisitos de segurança, abrangendo autenticação, gerenciamento de sessões, controle de acesso, prevenção de injeção, proteção de dados e muito mais. Ele reúne requisitos de segurança, orientações de implementação e evidências de conformidade em um único padrão.