deardaniel/secdata-raw huggingface dataset:
OWASP API Security Top 10: 0x00 toc

# Содержание

* [Содержание](0x00-toc.md)
* [Об OWASP](0x01-about-owasp.md)
* [Предисловие](0x02-foreword.md)
* [Введение](0x03-introduction.md)
* [Анонс выпуска](0x04-release-notes.md)
* [Риски безопасности API](0x10-api-security-risks.md)
* [OWASP Top 10 API Security Risks – 2019](0x11-t10.md)
* [API1:2019 Некорректная Авторизация на Уровне Объектов](0xa1-broken-object-level-authorization.md)
* [API2:2019 Некорректная Аутентификация Пользователей](0xa2-broken-user-authentication.md)
* [API3:2019 Предоставление Излишних Данных](0xa3-excessive-data-exposure.md)
* [API4:2019 Отсутствие ограничений на количество запросов и потребляемые ресурсы](0xa4-lack-of-resources-and-rate-limiting.md)
* [API5:2019 Некорректная авторизация на уровне функций](0xa5-broken-function-level-authorization.md)
* [API6:2019 Массовое переназначение параметров](0xa6-mass-assignment.md)
* [API7:2019 Ошибки настроек безопасности](0xa7-security-misconfiguration.md)
* [API8:2019 Инъекции](0xa8-injection.md)
* [API9:2019 Ненадлежащее управление активами](0xa9-improper-assets-management.md)
* [API10:2019 Недостаточное логирование и мониторинг](0xaa-insufficient-logging-monitoring.md)
* [Дальнейшие шаги для разработчиков](0xb0-next-devs.md)
* [Дальнейшие шаги для DevSecOps](0xb1-next-devsecops.md)
* [Методология и данные](0xd0-about-data.md)
* [Благодарность](0xd1-acknowledgments.md)
OWASP API Security Top 10: 0x01 about owasp

# Об OWASP

Open Web Application Security Project (OWASP) - открытое сообщество, нацеленное на предоставление возможности организациям разрабатывать, покупать и поддерживать приложения и API, которым можно доверять.

В OWASP вы найдёте открытые и бесплатные:

* Инструменты и стандарты по безопасности приложений.
* Полноценные книги по тестированию безопасности, разработке безопасного кода и код ревью на безопасность.
* Презентации и [видео][1].
* [Списки рекомендаций (Cheat sheets)][2] на разные темы.
* Стандартизированные меры безопасности и библиотеки.
* [Локальные отделения по всему миру][3].
* Современнейшие исследования.
* Масштабные [конференции по всему миру][4].
* [Списки рассылки][5].

Узнайте больше на [https://www.owasp.org][6].

Все инструменты, документы, видео, презентации и отделения OWASP бесплатны и открыты для всех, кто заинтересован в улучшении безопасности разработки приложений.

Мы выступаем за подход к безопасности к разработке приложений как к проблеме на уровне людей, процессов и технологий, поскольку наиболее эффективные методы обеспечения безопасности приложений требует улучшения на всех этих уровнях.

OWASP - это новый вид организации. Наша свобода от давления коммерческих организаций позволяет нам предоставлять беспристрастную, практичную и экономически оправданную информацию о безопасности приложений.

OWASP не аффилирован ни с какими технологическими компаниям, однако мы поддерживаем информированное использование коммерческих технологий по безопасности. OWASP создаёт множество материалов коллективным, прозрачным и открытым способом.

OWASP Foundation - некоммерческая организация, обеспечивающая долговременный успех проекта. Почти все участники OWASP - волонтёры, включая исполнительный комитет OWASP, руководителей отделений, лидеров и участников проектов. Мы поддерживаем инновационные исследования по безопасности грантами и инфраструктурой.

Присоединяйтесь к нам!

## Право интелектуальной собственности и лицензии

![license](images/license.png)

Право интелектуальной собственности © 2003-2019 The OWASP Foundation. 
Этот документ выпущен в соответствии с [лицензией Creative Commons Attribution Share-Alike 4.0][7]. При переиспользовании или распространении вы обязаны разъяснить условия лицензии данного документа.

[1]: https://www.youtube.com/user/OWASPGLOBAL
[2]: https://www.owasp.org/index.php/OWASP_Cheat_Sheet_Series
[3]: https://www.owasp.org/index.php/OWASP_Chapter
[4]: https://www.owasp.org/index.php/Category:OWASP_AppSec_Conference
[5]: https://lists.owasp.org/mailman/listinfo
[6]: https://www.owasp.org
[7]: http://creativecommons.org/licenses/by-sa/4.0/
OWASP API Security Top 10: 0x00 notice

# Nota

Esta é a versão de texto do OWASP API Security Top 10, usada como fonte para a
versão oficial distribuída em formato PDF - Portable Document Format.

Contribuições para o projeto tais como comentários, correções ou traduções devem
ser feitas aqui. Para mais detalhes sobre [Como Contribuir][1], por favor
consulte a secção [CONTRIBUTING.md][1].

* Erez Yallon
* Inon Shkedy

[1]: ../../../CONTRIBUTING.md
OWASP API Security Top 10: 0xd0 about data

# Metodologia e Dados

## Preâmbulo

Uma vez que a indústria de segurança aplicacional não tem estado focada
especificamente nas arquiteturas aplicacionais mais recentes, nas quais as APIs
têm um papel importante, compilar a lista dos riscos de segurança mais críticos
para APIs com base numa consulta pública de dados teria sido uma tarefa árdua.
Apesar desta consulta pública de dados não ter sido feita, a lista atual é ainda
resultado de informação que se encontra disponível publicamente, assim como de
contribuições de especialista em segurança e da discussão aberta à comunidade de
segurança.

## Metodologia e Dados

Numa primeira fase um grupo de especialistas em segurança recolheu, reviu e
categorizou informação relativa a incidentes relacionados com APIs que se
encontrava disponível publicamente. Esta informação foi recolhida de plataformas
de _bug bounty_ e bases de dados de falhas de segurança, restringida a
incidentes ocorridos no último ano. Esta informação foi usada para fins
estatísticos.

Na fase seguinte, foi pedido a um grupo de profissionais de segurança com
experiência em testes de penetração que criassem a seu próprio Top 10.

A [Metodologia de Classificação de Risco da OWASP][1] foi usada para realizar a
análise de risco e as classificações foram discutidas e revistas entre os
profissionais de segurança. Para mais informação sobre este assunto consulte a
secção [Riscos de Segurança em APIs][2].

O primeiro rascunho do OWASP API Security Top 10 2019 resultou do consenso entre
os dados estatísticos da primeira fase e as listas compiladas pelos
profissionais de segurança. Este rascunho foi depois submetido à apreciação e
revisão por outro grupo de profissionais de segurança com experiência relevante
em segurança de APIs.

O OWASP API Security Top 10 2019 foi apresentado publicamente pela primeira vez
na conferência OWASP Global AppSec Tel Aviv (Maio 2019). Desde então ele tem
estado disponível no GitHub para discussão e contribuições.

A lista de todos os que contribuíram para esta versão encontra-se na secção
[Agradecimentos][3].

[1]: https://owasp.org/www-project-risk-assessment-framework/
[2]: ./0x10-api-security-risks.md
[3]: ./0xd1-acknowledgments.md
OWASP API Security Top 10: 0x00 header

---
title: ''
---

![OWASP LOGO](images/owasp-logo.png)

# OWASP API Security Top 10 2019

Os Dez Problemas de Segurança Mais Críticos em APIs

29 de Maio, 2019

![WASP Logo URL TBA](images/front-wasp.png)

| | | |
| - | - | - |
| https://owasp.org | Distribuído ao abrigo da licença [Creative Commons Attribution-ShareAlike 4.0 International License][1] | ![Creative Commons License Logo](images/front-cc.png) |

[1]: http://creativecommons.org/licenses/by-sa/4.0/
OWASP API Security Top 10: 0x02 foreword

# Prefácio

As APIs - _Application Programming Interface_ têm um papel fundamental na
inovação que observamos nos dias de hoje ao nível das aplicações. Desde a banca,
retalho e transportes à Internet das Coisas (IoT), veículos autónomos e _Smart
Cities_, as APIs são hoje um elemento crítico nas aplicações móveis, _Software
as a Service_ (SaaS) e aplicações web, sejam elas destinadas ao público em
geral, parceiros de negócio ou para uso interno das organizações.

Por definição as APIs expõem lógica aplicacional e dados sensíveis tais como
informação pessoal (PII - _Personally Identifiable Information_), motivo pelo
qual se têm vindo a tornar um alvo para os atacantes. Se não conseguirmos
garantir a segurança das APIs será impossível continuar a inovar a um ritmo
acelerado.

Apesar de continuar a fazer sentindo manter uma lista dos 10 principais
problemas de segurança em aplicações web, devido à natureza particular das APIs,
é importante haver também uma tal lista específica para APIs.
A segurança das APIs foca-se nas estratégias e soluções para compreender e
mitigar as vulnerabilidades e risco de segurança associado às APIs.

Se estiver familiarizado com o projeto [OWASP Top 10][1] com certeza notará as
semelhanças entre os documentos: elas são propositadas para facilitar a leitura
e adoção deste. Se por outro lado for a primeira vez que tem contacto com um
documento da série OWASP Top 10, sugerimos que comece por ler as secções [Riscos
de Segurança em APIs][2] e [Metodologia e Dados][3] antes de aprofundar a lista
dos dez problemas de segurança mais críticos em APIs.

Pode contribuir para o OWASP API Security Top 10 com perguntas, comentários e
ideias no repositório do projeto no GitHub:

* https://github.com/OWASP/API-Security/issues
* https://github.com/OWASP/API-Security/blob/master/CONTRIBUTING.md

Pode ainda encontrar o OWASP API Security Top 10 em:

* https://owasp.org/www-project-api-security/
* https://github.com/OWASP/API-Security

Gostaríamos de agradecer a todos os que participaram neste projeto, tornando-o
possível com o seu empenho e contribuições. A lista de contribuidores
encontra-se na secção [Agradecimentos][4].

Obrigado!

[1]: https://owasp.org/www-project-top-ten/
[2]: ./0x10-api-security-risks.md
[3]: ./0xd0-about-data.md
[4]: ./0xd1-acknowledgments.md
OWASP API Security Top 10: 0x03 introduction

# Introdução

## Bem-vindo ao OWASP API Security Top 10 - 2019!

Bem-vindo à primeira edição do OWASP API Security Top 10. Se estiver
familiarizado com a série OWASP Top 10 seguramente notará as semelhanças: elas
são propositadas em prol da compreensão e adoção deste documento. Caso este seja o seu
primeiro contacto com este tipo de documento, considere visitar a página do
[OWASP API Security Project][1] antes de prosseguir para os principais problemas
de segurança de APIs.

As APIs desempenham um papel muito importante na arquitetura das aplicações
modernas. Uma vez que a consciencialização para a segurança e a inovação têm
ritmos diferentes, é importante concentrarmo-nos nas falhas mais comuns em APIs.

O objetivo principal do OWASP API Security Top 10 é educar todos aqueles
envolvidos no desenvolvimento e manutenção de APIs, como por exemplo,
programadores, _designers_, arquitetos, gestores ou organizações.

Na secção [Metodologia e Dados][2] pode ler mais sobre como esta primeira
edição foi criada. Nas versões futuras queremos envolver a industria de
segurança através duma chamada pública para contribuição de dados. Por agora
encorajamos todos a contribuírem com perguntas, comentários e ideias no nosso
[repositório no GitHub][3] ou através da [_Mailing list_][4].

[1]: https://owasp.org/www-project-api-security/
[2]: ./0xd0-about-data.md
[3]: https://github.com/OWASP/API-Security
[4]: https://groups.google.com/a/owasp.org/forum/#!forum/api-security-project
OWASP API Security Top 10: 0xd1 acknowledgments

# Agradecimentos

## Agradecimento ao Contribuidores

Gostaríamos de agradecer às pessoas abaixo, as quais contribuíram publicamente
no GitHub ou por outros meios:

* 007divyachawla
* Abid Khan
* Adam Fisher
* anotherik
* bkimminich
* caseysoftware
* Chris Westphal
* dsopas
* DSotnikov
* emilva
* ErezYalon
* flascelles
* Guillaume Benats
* IgorSasovets
* Inonshk
* JonnySchnittger
* jmanico
* jmdx
* Keith Casey
* kozmic
* LauraRosePorter
* Matthieu Estrade
* nathanawmk
* PauloASilva
* pentagramz
* philippederyck
* pleothaud
* r00ter
* Raj kumar
* Sagar Popat
* Stephen Gates
* thomaskonrad
* xycloops123
OWASP API Security Top 10: 0x04 release notes

# Notas da Versão

Esta é a primeira edição do OWASP API Security Top 10, que prevemos atualizar
periodicamente a cada três ou quatro anos.

Ao contrário desta versão, em futuras versões, queremos fazer uma chamada
pública para contribuição de dados, envolvendo a industria de segurança neste
esforço. Na secção [Metodologia e Dados][1] encontrará mais detalhes sobre como
construímos esta versão. Para mais informação sobre os riscos de segurança, por
favor consulte a secção [Riscos de Segurança em APIs][2].

É importante tomar consciência que nos últimos anos a arquitetura das aplicações
sofreu alterações significativas. Atualmente as APIs desempenham um papel muito
importante, em particular em arquitetura de micro-serviços, _Single Page
Applications_ (SPAs), aplicações móveis, Internet da Coisas (IoT), etc.

Era imperativo criar o OWASP API Security Top 10 para consciencializar a
comunidade sobre os atuais problemas de segurança em APIs. Isto foi apenas
possível graças ao enorme esforço dum conjunto de voluntários, todos eles
mencionados na secção [Agradecimentos][3]. Obrigado!

## Notas da Tradução

A tradução do OWASP API Security Top 10 2019 foi realizada de forma voluntária
com o objetivo de tornar este documento acessível a todos, independentemente do
domínio da língua em que este foi originalmente produzido.

Acreditamos que este é um contributo válido na missão de consciencializar e
educar todos quantos estão envolvidos no desenvolvimento e manutenção de APIs e
_software_ em geral para questões relacionadas com segurança.

A tradução deste documento para Português (Portugal) decorreu durante um período
conturbado em que enfrentamos uma pandemia global, em consequência da qual
vivemos em isolamento social. Este trabalho é também uma demonstração daquilo
que podemos construir em conjunto ainda que condicionados de alguma forma.

Esta tradução resulta do esforço de:

* Paulo Alexandre Silva <me@pauloasilva.com>
* Rui Silva <riusalvi@gmail.com>

[1]: ./0xd0-about-data.md
[2]: ./0x10-api-security-risks.md
[3]: ./0xd1-acknowledgments.md
OWASP API Security Top 10: 0x10 api security risks

# Riscos de Segurança em APIs

Para a análise de risco usámos a [metodologia de avaliação de risco da
OWASP][1].

A tabela seguinte resume a terminologia associada à pontuação correspondente ao
nível de risco.

| Agentes Ameaça | Abuso | Prevalência | Deteção | Impacto Técnico | Impacto Negócio |
| :-: | :-: | :-: | :-: | :-: | :-: |
| Específico da API | Fácil **3** | Predominante **3** | Fácil **3** | Grave **3** | Específico do Negócio |
| Específico da API | Moderado **2** | Comum **2** | Moderado **2** | Moderado **2** | Específico do Negócio |
| Específico da API | Difícil **1** | Incomum **1** | Difícil **1** | Reduzido **1** | Específico do Negócio |

**Nota**: Esta abordagem não toma em consideração a verosimilhança do Agente de
Ameaça. Também não toma em consideração nenhum detalhe técnico associado à sua
API. Qualquer um destes fatores podem ter impacto significativo na probabilidade
dum atacante encontrar e abusar duma falha de segurança particular. Estes
indicadores não tomam em consideração o impacto atual no seu negócio. Terá de
ser a sua organização a decidir qual o nível de risco para a segurança das suas
aplicações e APIs que está disposta a aceitar, baseado na cultura, indústria e
regulação a que está sujeita. O propósito do OWASP API Security Top 10 não é
fazer essa análise por si.

## Referências

### OWASP

* [OWASP Risk Rating Methodology][1]
* [Artigo sobre Threat/Risk Modeling][2]

### Externas

* [ISO 31000: Risk Management Std][3]
* [ISO 27001: ISMS][4]
* [NIST Cyber Framework (US)][5]
* [ASD Strategic Mitigations (AU)][6]
* [NIST CVSS 3.0][7]
* [Microsoft Threat Modeling Tool][8]

[1]: https://www.owasp.org/index.php/OWASP_Risk_Rating_Methodology
[2]: https://www.owasp.org/index.php/Threat_Risk_Modeling
[3]: https://www.iso.org/iso-31000-risk-management.html
[4]: https://www.iso.org/isoiec-27001-information-security.html
[5]: https://www.nist.gov/cyberframework
[6]: https://www.asd.gov.au/infosec/mitigationstrategies.htm
[7]: https://nvd.nist.gov/vuln-metrics/cvss/v3-calculator
[8]: https://www.microsoft.com/en-us/download/details.aspx?id=49168
OWASP API Security Top 10: 0x00 toc

# Tabela de Conteúdos

* [Tabela de Conteúdos](0x00-toc.md)
* [Sobre a OWASP](0x01-about-owasp.md)
* [Prefácio](0x02-foreword.md)
* [Introdução](0x03-introduction.md)
* [Notas da Versão](0x04-release-notes.md)
* [Riscos de Segurança em APIs](0x10-api-security-risks.md)
* [OWASP Top 10 API Security Risks – 2019](0x11-t10.md)
* [API1:2019 Broken Object Level Authorization](0xa1-broken-object-level-authorization.md)
* [API2:2019 Broken User Authentication](0xa2-broken-user-authentication.md)
* [API3:2019 Excessive Data Exposure](0xa3-excessive-data-exposure.md)
* [API4:2019 Lack of Resources & Rate Limiting](0xa4-lack-of-resources-and-rate-limiting.md)
* [API5:2019 Broken Function Level Authorization](0xa5-broken-function-level-authorization.md)
* [API6:2019 Mass Assignment](0xa6-mass-assignment.md)
* [API7:2019 Security Misconfiguration](0xa7-security-misconfiguration.md)
* [API8:2019 Injection](0xa8-injection.md)
* [API9:2019 Improper Assets Management](0xa9-improper-assets-management.md)
* [API10:2019 Insufficient Logging & Monitoring](0xaa-insufficient-logging-monitoring.md)
* [O Que Se Segue Para Programadores](0xb0-next-devs.md)
* [O que Se Segue Para DevSecOps](0xb1-next-devsecops.md)
* [Metodologia e Dados](0xd0-about-data.md)
* [Agradecimentos](0xd1-acknowledgments.md)
OWASP API Security Top 10: 0x01 about owasp

# Sobre a OWASP

OWASP - Open Web Application Security Project é uma comunidade aberta que se
dedica a ajudar as organizações a desenvolver, adquirir e manter aplicações e
APIs confiáveis.

A OWASP disponibiliza de forma livre e aberta:

* Ferramentas e normas de segurança aplicacional
* Livros completos sobre testes de segurança aplicacional, desenvolvimento
  de código seguro e revisão de código focada em segurança
* Apresentações e [vídeos][1]
* [_Cheat Sheets_][2] sobre assuntos diversos
* Controlos e bibliotecas de segurança _standard_
* [Comunidades locais espalhados por todo o mundo][3]
* Investigação de ponta
* Múltiplas [conferências em todo o mundo][4]
* [Listas de discussão][5]

Mais informação em: [https://www.owasp.org][6].

Todas as ferramentas, documentos, vídeos, apresentações e comunidades locais da
OWASP são livres e abertos a todos os interessados em melhorar a segurança
aplicacional.

Aconselhamos uma abordagem à segurança aplicacional como sendo um problema de
pessoas, processos e tecnologia, porque as abordagens mais eficazes à segurança
aplicacional necessitam de melhorias em todas estas áreas.

A OWASP é um novo tipo de organização. A nossa independência em relação a
pressões comerciais permite-nos fornecer informação imparcial, prática e
economicamente adequada sobre a segurança aplicacional. A OWASP não está
afiliada com nenhuma empresa tecnológica, embora suportemos o uso informado de
tecnologias de segurança comerciais. A OWASP produz muitos tipos de materiais
de uma forma colaborativa, transparente e aberta.

A fundação OWASP é uma entidade sem fins lucrativos o que assegura o sucesso a
longo prazo do projeto. Quase todas as pessoas associadas à OWASP são
voluntárias, incluindo a direção da OWASP, os líderes das comunidades locais, os
líderes dos projetos e os seus membros. Suportamos investigação inovadora em
segurança através de bolsas e infraestrutura.

Junte-se a nós!

## Copyright and License

![license](images/license.png)

Copyright © 2003-2019 The OWASP Foundation. Este documento é distribuído de
acordo com a licença [Creative Commons Attribution Share-Alike 4.0][7]. Para
qualquer tipo de reutilização ou distribuição, deve deixar claro para terceiros
os termos da licença deste trabalho.

[1]: https://www.youtube.com/user/OWASPGLOBAL
[2]: https://owasp.org/www-project-cheat-sheets/
[3]: https://owasp.org/chapters/
[4]: https://owasp.org/events/
[5]: https://lists.owasp.org/mailman/listinfo
[6]: https://www.owasp.org
[7]: http://creativecommons.org/licenses/by-sa/4.0/
OWASP API Security Top 10: 0x00 notice

# Notice

This is the text version of OWASP API Security Top 10, used as source for the
official version distributed as a Portable Document Format (PDF).

Contributions to the project such as comments, corrections, or translations
should be done here. For details on [How To Contribute][1], please refer to
[CONTRIBUTING.md][1].

* Erez Yallon
* Inon Shkedy

[1]: ../../../CONTRIBUTING.md
OWASP API Security Top 10: 0xb1 next devsecops

# What's Next For DevSecOps

Due to their importance in modern application architectures, building secure
APIs is crucial. Security cannot be neglected, and it should be part of the
whole development life cycle. Scanning and penetration testing yearly are no
longer enough.

DevSecOps should join the development effort, facilitating continuous security
testing across the entire software development life cycle. Their goal is to
enhance the development pipeline with security automation, and without impacting
the speed of development.

In case of doubt, stay informed, and review, the [DevSecOps Manifesto][1] often.

| | |
|-|-|
| **Understand the Threat Model** | Testing priorities come from a threat model. If you don't have one, consider using [OWASP Application Security Verification Standard (ASVS)][2], and the [OWASP Testing Guide][3] as an input. Involving the development team may help to make them more security-aware. |
| **Understand the SDLC** | Join the development team to better understand the Software Development Life Cycle. Your contribution on continuous security testing should be compatible with people, processes, and tools. Everyone should agree with the process, so that there's no unnecessary friction or resistance. |
| **Testing Strategies** | As your work should not impact the development speed, you should wisely choose the best (simple, fastest, most accurate) technique to verify the security requirements. The [OWASP Security Knowledge Framework][4] and [OWASP Application Security Verification Standard][5] can be great sources of functional and nonfunctional security requirements. There are other great sources for [projects][6] and [tools][7] similar to the one offered by the [DevSecOps community][8]. |
| **Achieving Coverage and Accuracy** | You're the bridge between developers and operations teams. To achieve coverage, not only should you focus on the functionality, but also the orchestration. Work close to both development and operations teams from the beginning so you can optimize your time and effort. You should aim for a state where the essential security is verified continuously. |
| **Clearly Communicate Findings** | Contribute value with less or no friction. Deliver findings in a timely fashion, within the tools development teams are using (not PDF files). Join the development team to address the findings. Take the opportunity to educate them, clearly describing the weakness and how it can be abused, including an attack scenario to make it real. |

[1]: https://www.devsecops.org/
[2]: https://www.owasp.org/index.php/Category:OWASP_Application_Security_Verification_Standard_Project
[3]: https://www.owasp.org/index.php/OWASP_Testing_Project
[4]: https://www.owasp.org/index.php/OWASP_Security_Knowledge_Framework
[5]: https://www.owasp.org/index.php/Category:OWASP_Application_Security_Verification_Standard_Project
[6]: http://devsecops.github.io/
[7]: https://github.com/devsecops/awesome-devsecops
[8]: http://devsecops.org