Realizando Auditoria de Cabeçalhos de Segurança

Quando Usar

• Durante avaliações de segurança de aplicações web autorizadas como uma revisão padrão de configuração
• Ao avaliar proteções em nível de navegador contra XSS, clickjacking e vazamento de dados
• Para avaliações de conformidade que exigem implementação de cabeçalhos de segurança (PCI DSS, SOC 2)
• Ao realizar reconhecimento inicial para identificar melhorias de segurança de fácil implementação
• Durante verificações de portão de segurança em pipelines CI/CD para novas implantações

Pré-requisitos

• Autorização: Escopo escrito para a aplicação alvo (a revisão de cabeçalhos é de baixo risco)
• curl: Para buscar cabeçalhos de resposta de endpoints alvo
• SecurityHeaders.com: Scanner online para avaliação rápida de cabeçalhos
• Mozilla Observatory: Ferramenta de teste de segurança web da Mozilla
• Burp Suite: Para análise abrangente de cabeçalhos em várias páginas
• DevTools do Navegador: Para examinar cabeçalhos e violações de CSP em tempo real

Fluxo de Trabalho

Passo 1: Coletar Cabeçalhos de Segurança do Alvo

Recupere e catalogue todos os cabeçalhos de resposta relacionados à segurança.

# Fetch all response headers
curl -s -I "https://target.example.com/" | grep -iE \
  "(strict-transport|content-security|x-frame|x-content-type|x-xss|referrer-policy|permissions-policy|feature-policy|x-permitted|cross-origin|set-cookie|server|x-powered-by|cache-control)"

# Check headers across multiple pages
PAGES=("/" "/login" "/api/health" "/admin" "/account/settings" "/static/app.js")

for page in "${PAGES[@]}"; do
  echo "=== $page ==="
  curl -s -I "https://target.example.com$page" 2>/dev/null | grep -iE \
    "(strict-transport|content-security|x-frame|x-content-type|x-xss|referrer-policy|permissions-policy|set-cookie|server|x-powered)"
  echo
done

# Check both HTTP and HTTPS responses
echo "=== HTTP Response ==="
curl -s -I "http://target.example.com/" | head -20
echo "=== HTTPS Response ==="
curl -s -I "https://target.example.com/" | head -20

Passo 2: Avaliar Segurança de Transporte (HSTS)

Avalie a configuração do HTTP Strict Transport Security.

# Check HSTS header
curl -s -I "https://target.example.com/" | grep -i "strict-transport-security"

# Expected: Strict-Transport-Security: max-age=31536000; includeSubDomains; preload

# Verify HSTS attributes:
# max-age: Should be >= 31536000 (1 year) for preload eligibility
# includeSubDomains: Protects all subdomains
# preload: Eligible for browser HSTS preload list

# Check if HTTP redirects to HTTPS
curl -s -I "http://target.example.com/" | head -5
# Should be 301/302 redirect to https://

# Check if HSTS is on the preload list
# Visit: https://hstspreload.org/?domain=target.example.com

# Test for HTTPS-only cookies
curl -s -I "https://target.example.com/login" | grep -i "set-cookie"
# All session cookies should have Secure flag

# Check for mixed content
curl -s "https://target.example.com/" | grep -oP "http://[^\"']+" | head -20
# HTTP resources loaded on HTTPS pages create mixed content vulnerabilities

Passo 3: Auditar Política de Segurança de Conteúdo (CSP)

Analise os cabeçalhos CSP quanto à eficácia e possíveis contornos.

# Extract CSP header
CSP=$(curl -s -I "https://target.example.com/" | grep -i "content-security-policy" | cut -d: -f2-)
echo "$CSP"

# Check for dangerous directives:
# 'unsafe-inline' in script-src: Allows inline scripts (XSS risk)
# 'unsafe-eval' in script-src: Allows eval() (XSS risk)
# * in any directive: Allows loading from any origin
# data: in script-src: Allows data: URI scripts
# Missing default-src: No fallback policy

echo "$CSP" | tr ';' '\n' | while read directive; do
  echo "  $directive"
  if echo "$directive" | grep -q "unsafe-inline"; then
    echo "    WARNING: unsafe-inline allows inline script execution"
  fi
  if echo "$directive" | grep -q "unsafe-eval"; then
    echo "    WARNING: unsafe-eval allows eval() calls"
  fi
  if echo "$directive" | grep -q " \* "; then
    echo "    WARNING: wildcard allows loading from any origin"
  fi
done

# Check for CSP report-only (not enforcing)
curl -s -I "https://target.example.com/" | grep -i "content-security-policy-report-only"
# Report-only does NOT block violations, only logs them

# Test CSP with Google's evaluator
# https://csp-evaluator.withgoogle.com/
# Paste the CSP header for automated analysis

# Check for CSP bypass via whitelisted domains
# If CDN domains are whitelisted, check for JSONP endpoints or angular libraries

Passo 4: Verificar Cabeçalhos de Proteção de Frame e Defesa contra Cliques

…