Skip to content

Commit 9e47891

Browse files
PauloASilvaPauloASilva
committed
Merge branch 'release/1.3.0'
2 parents 9dfeb48 + d05f867 commit 9e47891

31 files changed

+1365
-1
lines changed

‎2019/pt-pt/dist/owasp-api-security-top-10.odt‎

4.13 MB
Binary file not shown.

‎2019/pt-pt/dist/owasp-api-security-top-10.pdf‎

3.2 MB
Binary file not shown.

‎2019/pt-pt/src/0x00-header.md‎

Lines changed: 17 additions & 0 deletions
Original file line numberDiff line numberDiff line change
@@ -0,0 +1,17 @@
1+
![OWASP LOGO](images/owasp-logo.png)
2+
3+
## OWASP API Security Top 10 2019
4+
5+
Os Dez Problemas de Segurança Mais Críticos em APIs
6+
7+
29 de Maio, 2019
8+
9+
![WASP Logo URL TBA](images/front-wasp.png)
10+
11+
| | | |
12+
| - | - | - |
13+
| https://owasp.org | Distribuído ao abrigo da licença [Creative Commons Attribution-ShareAlike 4.0 International License][1] | ![Creative Commons License Logo](images/front-cc.png) |
14+
15+
[1]: http://creativecommons.org/licenses/by-sa/4.0/
16+
17+

‎2019/pt-pt/src/0x00-notice.md‎

Lines changed: 14 additions & 0 deletions
Original file line numberDiff line numberDiff line change
@@ -0,0 +1,14 @@
1+
Nota
2+
====
3+
4+
Esta é a versão de texto do OWASP API Security Top 10, usada como fonte para a
5+
versão oficial distribuída em formato PDF - Portable Document Format.
6+
7+
Contribuições para o projeto tais como comentários, correções ou traduções devem
8+
ser feitas aqui. Para mais detalhes sobre [Como Contribuir][1], por favor
9+
consulte a secção [CONTRIBUTING.md][1].
10+
11+
* Erez Yallon
12+
* Inon Shkedy
13+
14+
[1]: ../../CONTRIBUTING.md

‎2019/pt-pt/src/0x00-toc.md‎

Lines changed: 24 additions & 0 deletions
Original file line numberDiff line numberDiff line change
@@ -0,0 +1,24 @@
1+
Tabela de Conteúdos
2+
===================
3+
4+
* [Tabela de Conteúdos](0x00-toc.md)
5+
* [Sobre a OWASP](0x01-about-owasp.md)
6+
* [Prefácio](0x02-foreward.md)
7+
* [Introdução](0x03-introduction.md)
8+
* [Notas da Versão](0x04-release-notes.md)
9+
* [Riscos de Segurança em APIs](0x10-api-security-risks.md)
10+
* [OWASP Top 10 API Security Risks – 2019](0x11-t10.md)
11+
* [API1:2019 Broken Object Level Authorization](0xa1-broken-object-level-authorization.md)
12+
* [API2:2019 Broken User Authentication](0xa2-broken-user-authentication.md)
13+
* [API3:2019 Excessive Data Exposure](0xa3-excessive-data-exposure.md)
14+
* [API4:2019 Lack of Resources & Rate Limiting](0xa4-lack-of-resources-and-rate-limiting.md)
15+
* [API5:2019 Broken Function Level Authorization](0xa5-broken-function-level-authorization.md)
16+
* [API6:2019 Mass Assignment](0xa6-mass-assignment.md)
17+
* [API7:2019 Security Misconfiguration](0xa7-security-misconfiguration.md)
18+
* [API8:2019 Injection](0xa8-injection.md)
19+
* [API9:2019 Improper Assets Management](0xa9-improper-assets-management.md)
20+
* [API10:2019 Insufficient Logging & Monitoring](0xaa-insufficient-logging-monitoring.md)
21+
* [O Que Se Segue Para Programadores](0xb0-next-devs.md)
22+
* [O que Se Segue Para DevSecOps](0xb1-next-devsecops.md)
23+
* [Metodologia e Dados](0xd0-about-data.md)
24+
* [Agradecimentos](0xd1-acknowledgments.md)

‎2019/pt-pt/src/0x01-about-owasp.md‎

Lines changed: 61 additions & 0 deletions
Original file line numberDiff line numberDiff line change
@@ -0,0 +1,61 @@
1+
Sobre a OWASP
2+
===========
3+
4+
OWASP - Open Web Application Security Project é uma comunidade aberta que se
5+
dedica a ajudar as organizações a desenvolver, adquirir e manter aplicações e
6+
APIs confiáveis.
7+
8+
A OWASP disponibiliza de forma livre e aberta:
9+
10+
* Ferramentas e normas de segurança aplicacional
11+
* Livros completos sobre testes de segurança aplicacional, desenvolvimento
12+
de código seguro e revisão de código focada em segurança
13+
* Apresentações e [vídeos][1]
14+
* [_Cheat Sheets_][2] sobre assuntos diversos
15+
* Controlos e bibliotecas de segurança _standard_
16+
* [Comunidades locais espalhados por todo o mundo][3]
17+
* Investigação de ponta
18+
* Múltiplas [conferências em todo o mundo][4]
19+
* [Listas de discussão][5]
20+
21+
Mais informação em: [https://www.owasp.org][6].
22+
23+
Todas as ferramentas, documentos, vídeos, apresentações e comunidades locais da
24+
OWASP são livres e abertos a todos os interessados em melhorar a segurança
25+
aplicacional.
26+
27+
Aconselhamos uma abordagem à segurança aplicacional como sendo um problema de
28+
pessoas, processos e tecnologia, porque as abordagens mais eficazes à segurança
29+
aplicacional necessitam de melhorias em todas estas áreas.
30+
31+
A OWASP é um novo tipo de organização. A nossa independência em relação a
32+
pressões comerciais permite-nos fornecer informação imparcial, prática e
33+
economicamente adequada sobre a segurança aplicacional. A OWASP não está
34+
afiliada com nenhuma empresa tecnológica, embora suportemos o uso informado de
35+
tecnologias de segurança comerciais. A OWASP produz muitos tipos de materiais
36+
de uma forma colaborativa, transparente e aberta.
37+
38+
A fundação OWASP é uma entidade sem fins lucrativos o que assegura o sucesso a
39+
longo prazo do projeto. Quase todas as pessoas associadas à OWASP são
40+
voluntárias, incluindo a direção da OWASP, os líderes das comunidades locais, os
41+
líderes dos projetos e os seus membros. Suportamos investigação inovadora em
42+
segurança através de bolsas e infraestrutura.
43+
44+
Junte-se a nós!
45+
46+
## Copyright and License
47+
48+
![license](images/license.png)
49+
50+
Copyright © 2003-2019 The OWASP Foundation. Este documento é distribuído de
51+
acordo com a licença [Creative Commons Attribution Share-Alike 4.0][7]. Para
52+
qualquer tipo de reutilização ou distribuição, deve deixar claro para terceiros
53+
os termos da licença deste trabalho.
54+
55+
[1]: https://www.youtube.com/user/OWASPGLOBAL
56+
[2]: https://owasp.org/www-project-cheat-sheets/
57+
[3]: https://owasp.org/chapters/
58+
[4]: https://owasp.org/events/
59+
[5]: https://lists.owasp.org/mailman/listinfo
60+
[6]: https://www.owasp.org
61+
[7]: http://creativecommons.org/licenses/by-sa/4.0/

‎2019/pt-pt/src/0x02-foreword.md‎

Lines changed: 50 additions & 0 deletions
Original file line numberDiff line numberDiff line change
@@ -0,0 +1,50 @@
1+
Prefácio
2+
========
3+
4+
As APIs - _Application Programming Interface_ têm um papel fundamental na
5+
inovação que observamos nos dias de hoje ao nível das aplicações. Desde a banca,
6+
retalho e transportes à Internet das Coisas (IoT), veículos autónomos e _Smart
7+
Cities_, as APIs são hoje um elemento crítico nas aplicações móveis, _Software
8+
as a Service_ (SaaS) e aplicações web, sejam elas destinadas ao público em
9+
geral, parceiros de negócio ou para uso interno das organizações.
10+
11+
Por definição as APIs expõem lógica aplicacional e dados sensíveis tais como
12+
informação pessoal (PII - _Personally Identifiable Information_), motivo pelo
13+
qual se têm vindo a tornar um alvo para os atacantes. Se não conseguirmos
14+
garantir a segurança das APIs será impossível continuar a inovar a um ritmo
15+
acelerado.
16+
17+
Apesar de continuar a fazer sentindo manter uma lista dos 10 principais
18+
problemas de segurança em aplicações web, devido à natureza particular das APIs,
19+
é importante haver também uma tal lista específica para APIs.
20+
A segurança das APIs foca-se nas estratégias e soluções para compreender e
21+
mitigar as vulnerabilidades e risco de segurança associado às APIs.
22+
23+
Se estiver familiarizado com o projeto [OWASP Top 10][1] com certeza notará as
24+
semelhanças entre os documentos: elas são propositadas para facilitar a leitura
25+
e adoção deste. Se por outro lado for a primeira vez que tem contacto com um
26+
documento da série OWASP Top 10, sugerimos que comece por ler as secções [Riscos
27+
de Segurança em APIs][2] e [Metodologia e Dados][3] antes de aprofundar a lista
28+
dos dez problemas de segurança mais críticos em APIs.
29+
30+
Pode contribuir para o OWASP API Security Top 10 com perguntas, comentários e
31+
ideias no repositório do projeto no GitHub:
32+
33+
* https://github.com/OWASP/API-Security/issues
34+
* https://github.com/OWASP/API-Security/blob/master/CONTRIBUTING.md
35+
36+
Pode ainda encontrar o OWASP API Security Top 10 em:
37+
38+
* https://owasp.org/www-project-api-security/
39+
* https://github.com/OWASP/API-Security
40+
41+
Gostaríamos de agradecer a todos os que participaram neste projeto, tornando-o
42+
possível com o seu empenho e contribuições. A lista de contribuidores
43+
encontra-se na secção [Agradecimentos][4].
44+
45+
Obrigado!
46+
47+
[1]: https://owasp.org/www-project-top-ten/
48+
[2]: ./0x10-api-security-risks.md
49+
[3]: ./0xd0-about-data.md
50+
[4]: ./0xd1-acknowledgments.md

‎2019/pt-pt/src/0x03-introduction.md‎

Lines changed: 30 additions & 0 deletions
Original file line numberDiff line numberDiff line change
@@ -0,0 +1,30 @@
1+
Introdução
2+
==========
3+
4+
## Bem-vindo ao OWASP API Security Top 10 - 2019!
5+
6+
Bem-vindo à primeira edição do OWASP API Security Top 10. Se estiver
7+
familiarizado com a série OWASP Top 10 seguramente notará as semelhanças: elas
8+
são propositadas em prol da compreensão e adoção deste documento. Caso este seja o seu
9+
primeiro contacto com este tipo de documento, considere visitar a página do
10+
[OWASP API Security Project][1] antes de prosseguir para os principais problemas
11+
de segurança de APIs.
12+
13+
As APIs desempenham um papel muito importante na arquitetura das aplicações
14+
modernas. Uma vez que a consciencialização para a segurança e a inovação têm
15+
ritmos diferentes, é importante concentrarmo-nos nas falhas mais comuns em APIs.
16+
17+
O objetivo principal do OWASP API Security Top 10 é educar todos aqueles
18+
envolvidos no desenvolvimento e manutenção de APIs, como por exemplo,
19+
programadores, _designers_, arquitetos, gestores ou organizações.
20+
21+
Na secção [Metodologia e Dados][2] pode ler mais sobre como esta primeira
22+
edição foi criada. Nas versões futuras queremos envolver a industria de
23+
segurança através duma chamada pública para contribuição de dados. Por agora
24+
encorajamos todos a contribuírem com perguntas, comentários e ideias no nosso
25+
[repositório no GitHub][3] ou através da [_Mailing list_][4].
26+
27+
[1]: https://owasp.org/www-project-api-security/
28+
[2]: ./0xd0-about-data.md
29+
[3]: https://github.com/OWASP/API-Security
30+
[4]: https://groups.google.com/a/owasp.org/forum/#!forum/api-security-project

‎2019/pt-pt/src/0x04-release-notes.md‎

Lines changed: 45 additions & 0 deletions
Original file line numberDiff line numberDiff line change
@@ -0,0 +1,45 @@
1+
Notas da Versão
2+
===============
3+
4+
Esta é a primeira edição do OWASP API Security Top 10, que prevemos atualizar
5+
periodicamente a cada três ou quatro anos.
6+
7+
Ao contrário desta versão, em futuras versões, queremos fazer uma chamada
8+
pública para contribuição de dados, envolvendo a industria de segurança neste
9+
esforço. Na secção [Metodologia e Dados][1] encontrará mais detalhes sobre como
10+
construímos esta versão. Para mais informação sobre os riscos de segurança, por
11+
favor consulte a secção [Riscos de Segurança em APIs][2].
12+
13+
É importante tomar consciência que nos últimos anos a arquitetura das aplicações
14+
sofreu alterações significativas. Atualmente as APIs desempenham um papel muito
15+
importante, em particular em arquitetura de micro-serviços, _Single Page
16+
Applications_ (SPAs), aplicações móveis, Internet da Coisas (IoT), etc.
17+
18+
Era imperativo criar o OWASP API Security Top 10 para consciencializar a
19+
comunidade sobre os atuais problemas de segurança em APIs. Isto foi apenas
20+
possível graças ao enorme esforço dum conjunto de voluntários, todos eles
21+
mencionados na secção [Agradecimentos][3]. Obrigado!
22+
23+
## Notas da Tradução
24+
25+
A tradução do OWASP API Security Top 10 2019 foi realizada de forma voluntária
26+
com o objetivo de tornar este documento acessível a todos, independentemente do
27+
domínio da língua em que este foi originalmente produzido.
28+
29+
Acreditamos que este é um contributo válido na missão de consciencializar e
30+
educar todos quantos estão envolvidos no desenvolvimento e manutenção de APIs e
31+
_software_ em geral para questões relacionadas com segurança.
32+
33+
A tradução deste documento para Português (Portugal) decorreu durante um período
34+
conturbado em que enfrentamos uma pandemia global, em consequência da qual
35+
vivemos em isolamento social. Este trabalho é também uma demonstração daquilo
36+
que podemos construir em conjunto ainda que condicionados de alguma forma.
37+
38+
Esta tradução resulta do esforço de:
39+
40+
* Paulo Alexandre Silva <[email protected]>
41+
* Rui Silva <[email protected]>
42+
43+
[1]: ./0xd0-about-data.md
44+
[2]: ./0x10-api-security-risks.md
45+
[3]: ./0xd1-acknowledgments.md

‎2019/pt-pt/src/0x10-api-security-risks.md‎

Lines changed: 49 additions & 0 deletions
Original file line numberDiff line numberDiff line change
@@ -0,0 +1,49 @@
1+
Riscos de Segurança em APIs
2+
===========================
3+
4+
Para a análise de risco usámos a [metodologia de avaliação de risco da
5+
OWASP][1].
6+
7+
A tabela seguinte resume a terminologia associada à pontuação correspondente ao
8+
nível de risco.
9+
10+
| Agentes Ameaça | Abuso | Prevalência | Deteção | Impacto Técnico | Impacto Negócio |
11+
| :-: | :-: | :-: | :-: | :-: | :-: |
12+
| Específico da API | Fácil **3** | Predominante **3** | Fácil **3** | Grave **3** | Específico do Negócio |
13+
| Específico da API | Moderado **2** | Comum **2** | Moderado **2** | Moderado **2** | Específico do Negócio |
14+
| Específico da API | Difícil **1** | Incomum **1** | Difícil **1** | Reduzido **1** | Específico do Negócio |
15+
16+
**Nota**: Esta abordagem não toma em consideração a verosimilhança do Agente de
17+
Ameaça. Também não toma em consideração nenhum detalhe técnico associado à sua
18+
API. Qualquer um destes fatores podem ter impacto significativo na probabilidade
19+
dum atacante encontrar e abusar duma falha de segurança particular. Estes
20+
indicadores não tomam em consideração o impacto atual no seu negócio. Terá de
21+
ser a sua organização a decidir qual o nível de risco para a segurança das suas
22+
aplicações e APIs que está disposta a aceitar, baseado na cultura, indústria e
23+
regulação a que está sujeita. O propósito do OWASP API Security Top 10 não é
24+
fazer essa análise por si.
25+
26+
## Referências
27+
28+
### OWASP
29+
30+
* [OWASP Risk Rating Methodology][1]
31+
* [Artigo sobre Threat/Risk Modeling][2]
32+
33+
### Externas
34+
35+
* [ISO 31000: Risk Management Std][3]
36+
* [ISO 27001: ISMS][4]
37+
* [NIST Cyber Framework (US)][5]
38+
* [ASD Strategic Mitigations (AU)][6]
39+
* [NIST CVSS 3.0][7]
40+
* [Microsoft Threat Modeling Tool][8]
41+
42+
[1]: https://www.owasp.org/index.php/OWASP_Risk_Rating_Methodology
43+
[2]: https://www.owasp.org/index.php/Threat_Risk_Modeling
44+
[3]: https://www.iso.org/iso-31000-risk-management.html
45+
[4]: https://www.iso.org/isoiec-27001-information-security.html
46+
[5]: https://www.nist.gov/cyberframework
47+
[6]: https://www.asd.gov.au/infosec/mitigationstrategies.htm
48+
[7]: https://nvd.nist.gov/vuln-metrics/cvss/v3-calculator
49+
[8]: https://www.microsoft.com/en-us/download/details.aspx?id=49168

0 commit comments

Comments
 (0)