Teste de intrusão de aplicações web
Um ataque controlado e sobretudo manual à sua aplicação web, feito como um atacante real o faria. Alinhamos a cobertura com o OWASP Web Security Testing Guide, verificamos os controlos face ao OWASP ASVS e encadeamos caminhos reais e exploráveis que os scanners não detetam.
O que testamos
A cobertura assenta no OWASP Web Security Testing Guide (WSTG v4.2), cuja secção 4 define doze categorias de teste, da autenticação e autorização à lógica de negócio e ao lado do cliente. Ajustamos a profundidade ao seu risco e ao seu objetivo de garantia, em modo black-box, grey-box ou white-box.
- Autenticação, gestão de sessões e autorização (controlo de acessos quebrado)
- Injeção, validação de entradas e desserialização insegura
- Falhas de lógica de negócio e desenho inseguro
- Falhas criptográficas e segurança do transporte
- Configuração de segurança incorreta e tratamento de erros exposto
- Problemas do lado do cliente (XSS, DOM, postMessage) e pontos de contacto com a API
Uma metodologia sobretudo manual
As ferramentas automatizadas são úteis para abrangência, mas o próprio ASVS nota que não conseguem verificar os requisitos mais complexos nem os que estão ligados à lógica de negócio e ao controlo de acessos. Lideramos com o teste manual e usamos as ferramentas como apoio, seguindo um fluxo de projeto estruturado.
- 1
Definição do âmbito e regras de atuação
Acordamos os limites, o modelo de ameaças, as contas e a janela de teste, e assinamos um NDA antes de qualquer acesso.
- 2
Mapeamento e enumeração
Mapeamos a aplicação, as suas funções e os pontos de entrada para planear uma cobertura orientada pelo WSTG de toda a superfície alcançável.
- 3
Teste manual
Percorremos manualmente as categorias do WSTG: autenticação, autorização, injeção, lógica de negócio e outras.
- 4
Exploração e encadeamento
Confirmamos o impacto com uma prova de conceito e encadeamos problemas individualmente menores em caminhos de ataque realistas.
- 5
Relatório e reteste gratuito
Recebe um relatório priorizado; depois de remediar, voltamos a testar os problemas corrigidos sem custos adicionais, dentro do prazo fixado no SoW.
O que recebe
A mesma profundidade de entrega do nosso relatório de exemplo: um resumo executivo mais uma entrada completa para cada achado, com referências mapeadas a padrões reconhecidos, para que a cobertura seja auditável.
- Resumo executivo e postura de risco global para os decisores
- Cada achado: descrição, impacto, evidência, passos para reproduzir e remediação
- Severidade pontuada com CVSS 3.1 e traduzida em risco de negócio
- Referências ao CWE, ao ID de teste do WSTG e ao requisito ASVS aplicável
- Achados enquadrados nas categorias de risco do OWASP Top 10 2025
- Reteste gratuito dos problemas remediados dentro do prazo fixado no SoW, registado num relatório atualizado ou num resumo de reteste
Assente em padrões reconhecidos de segurança web
Mapeamos a cobertura ao OWASP WSTG v4.2 e verificamos face ao OWASP ASVS 5.0.0; note que o ASVS 5.0 reformulou o Nível 1, pelo que escolhemos o nível de verificação consoante o risco, em vez de tratar o L1 como uma aprovação black-box. O risco é enquadrado no OWASP Top 10 2025, e os achados são pontuados com CVSS 3.1 (a FIRST também publica a v4.0; indicamos a versão aplicada em cada achado).