DETECÇÃO DE VULNERABILIDADES EM AMBIENTES WEB CONTROLADOS

Resumo

Neste trabalho são implementadas, em um ambiente controlado, as dez principais vulnerabilidades recorrentemente detectadas em sistemas Web segundo a classificação tri-anual da OWASP 2017. O ambiente controlado, além de criar um cenário conhecido para a avaliação das ferramentas, torna possível investigar outras coisas, como falsos positivos. Neste contexto, o objetivo principal do trabalho é avaliar os principais scanners de vulnerabilidades gratuitos, escolhidos através de uma pesquisa em sites de classificação, em um cenário controlado, dando um passo além (em relação a trabalhos existentes na literatura) na investigação da eficácia dessas ferramentas. Para atingir este objetivo, o desenvolvimento do trabalho foi organizado em cinco etapas bem definidas, indo desde a pesquisa do estado da arte até a análise dos resultados dos scanners. Surpreendentemente, os scanners de vulnerabilidades detectaram apenas 50% das dez categorias de vulnerabilidades implementadas no cenário controlado. A ferramenta que se destacou foi o Skipfish, identificando 80% do total de vulnerabilidades detectadas pelos scanners. Os resultados da avaliação da eficácia das diferentes ferramentas de varredura de vulnerabilidades, em um ambiente controlado, reforça a necessidade de se utilizar múltiplas ferramentas para encontrar e corrigir defeitos em sistemas Web. Outro aspecto surpreendente, constatado na pesquisa, é o fato de alguns scanners não detectarem algumas das vulnerabilidades que prometem detectar. Em outras palavras, isto significa que os usuários não podem confiar cegamente na documentação das ferramentas. Como trabalhos futuros podem ser citados: a avaliação do impacto de frameworks e Web Application Firewalls na segurança dos sistemas Web; e a utilização prática dos scanners de vulnerabilidades para identificar problemas em potencial em sites de prefeituras, escolas e outros órgãos públicos da região de abrangência da UNIPAMPA, prestando um serviço prático e importante à comunidade de inserção da instituição.