# OWASP

O OWASP (Open Web Application Security Project), ou Projeto Aberto de Segurança em Aplicações Web, é uma comunidade online que cria e disponibiliza de forma gratuita artigos, metodologias, documentação, ferramentas e tecnologias no campo da segurança de aplicações web.
Todas as ferramentas, documentos, fóruns e capítulos do OWASP são grátis e abertos a todos os interessados em aperfeiçoar a segurança em aplicações. Promovemos a abordagem da segurança em aplicações como um problema de pessoas, processos e tecnologia, porque as abordagens mais eficazes em segurança de aplicações requerem melhorias nestas áreas. A OWASP é um novo tipo de organização. O fato de ser livre de pressões comerciais permite fornecer informação de segurança de aplicações imparcial, prática e de custo eficiente.
A OWASP não é filiada a nenhuma empresa de tecnologia, apesar de apoiar o uso de tecnologia de segurança comercial. Da mesma forma que muitos projetos de software de código aberto, a OWASP produz vários tipos de materiais de maneira colaborativa e aberta.

## História

OWASP foi iniciada em 9 de setembro de 2001 por Mark Curphey. Jeff Williams serviu como voluntário do final de 2003 até setembro de 2011. O atual presidente é Tobias Gondrom e o vice-presidente é Josh Sokol.
A Fundação OWASP é uma organização 501(c)(3) organização sem fins lucrativos (nos EUA), foi criada em 2004 e oferece suporte a infraestrutura e aos projetos da OWASP.
Desde 2011, a OWASP é também registrada como uma organização sem fins lucrativos na Bélgica, sob o nome de OWASP Europa VZW.

## Owasp Projetos

Esta é uma das divisões mais populares da OWASP, uma vez que dá aos membros a oportunidade de testar teorias e idéias livremente com o aconselhamento profissional e apoio da comunidade OWASP. Você pode visualizar todas as listas, examinar seus arquivos, e subscrever qualquer projeto, visitando as Listas de Discussão do Owasp Projeto.

### Inventário do OWASP Projetos
#### Flagship Projetos

A designação OWASP Flagship é dada aos projetos que tenham demonstrados valor estratégico para OWASP e segurança do aplicativo como um todo.

#### Projetos de Laboratório

Representam projetos que produziram um produto de valor, embora normalmente não estejam prontos para a produção.

#### Incubadora de Projetos

Representam os projetos que estão em desenvolvimento, ideias sendo comprovadas e projetos sendo concretizados.

#### Low Activity Project

Projetos de baixa atividade, projetos que não tiveram lançamento em pelo menos um ano, no entanto, tem mostrado ser ferramentas valiosas

## Owasp TOP 10

O OWASP Top 10 é um documento de conscientização para a segurança das aplicações web. O OWASP Top 10 representa um amplo consenso sobre o que são as falhas de segurança de aplicativos web mais importantes. Os membros do projeto incluem uma variedade de especialistas em segurança de todo o mundo que compartilharam seus conhecimentos para produzir essa lista.
O OWASP Top 10 possui licença gratuita, contando também com diferentes traduções, onde se é dada por usuários voluntários.
O OWASP Top 10 de 2017 foi:
* Injeção de Código
* Quebra de Autenticação
* Exposição de Dados Sensíveis
* Entidades Externas de XML
* Quebra de Controle de Acesso
* Configuração Incorreta de Segurança
* Cross-Site Scripting (XSS)
* Deserialização Insegura
* Utilização de Componentes com Vulnerabilidades Conhecidas
* Log e Monitoramento Ineficientes

## Top 10 Controles Preventivos

O OWASP Top 10 Controles Preventivos é uma lista de técnicas de segurança que devem ser incluídos em cada projeto de desenvolvimento de software. Eles são ordenados por ordem de importância, sendo o primeiro o mais importante:
* verificar a segurança cedo e frequentemente;
* parametrizar consultas;
* codificar dados;
* validar todas as entradas;
* implementar controles de identidade e autenticação;
* implementar controles de acesso;
* proteger os dados;
* implementar LOG e detecção de intrusão;
* aproveitar as estruturas de segurança e bibliotecas;
* manipulação de erros e exceções.

## Top 10 for LLMs and AI agents

O OWASP Top 10 for LLMs and AI agents é uma lista de riscos e ameaças em sistemas de GenAI, incluindo os riscos mais importantes:
* Alucinações e Geração de Conteúdo Falso: Modelos generativos podem produzir informações incorretas, enganosas ou prejudiciais sem intenção maliciosa, impactando a confiabilidade de suas aplicações.
* Ataques por Prompt Injection: Usuários mal-intencionados podem manipular entradas para induzir o modelo a gerar respostas inadequadas ou vazar informações sensíveis.
* Exfiltração de Dados: Modelos de IA podem memorizar e, inadvertidamente, expor dados sensíveis usados em seu treinamento, levantando preocupações sobre privacidade e conformidade regulatória.
* Deepfakes e Manipulação de Imagens/Voz: Modelos generativos permitem a criação de deepfakes, que podem ser usados para desinformação, fraudes e ataques cibernéticos.
* Uso Malicioso de IA Generativa: A tecnologia pode ser explorada para automatizar ataques de phishing, criar malware sofisticado e disseminar desinformação em larga escala.