Realizando Triagem de Vulnerabilidades em Aplicações Web

Visão Geral

A triagem de vulnerabilidades em aplicações web é o processo de revisar descobertas de ferramentas DAST (Dynamic Application Security Testing) e SAST (Static Application Security Testing) para validar verdadeiros positivos, descartar falsos positivos, atribuir classificações de risco usando a Metodologia de Classificação de Risco da OWASP e priorizar a remediação. Uma triagem eficaz reduz a fadiga de alertas e foca as equipes de desenvolvimento nas vulnerabilidades que mais importam.

Quando Usar

• Ao conduzir avaliações de segurança que envolvem a realização de triagem de vulnerabilidades em aplicações web
• Ao seguir procedimentos de resposta a incidentes para eventos de segurança relacionados
• Ao realizar testes de segurança ou atividades de auditoria agendadas
• Ao validar controles de segurança por meio de testes práticos

Pré-requisitos

• Resultados de varredura DAST (OWASP ZAP, Burp Suite, Acunetix)
• Resultados de varredura SAST (Semgrep, SonarQube, Checkmarx, Snyk Code)
• Python 3.9+ com requests, beautifulsoup4
• Burp Suite Professional ou OWASP ZAP para validação manual
• DefectDojo ou similar para gerenciamento de descobertas

Metodologia de Classificação de Risco da OWASP

Cálculo de Risco

Risk = Likelihood x Impact

Fatores de Probabilidade (escala de 0 a 9)

Fatores de Impacto (escala de 0 a 9)

Matriz de Risco

Processo de Triagem

Etapa 1: Categorizar por OWASP Top 10

OWASP_TOP_10_2021 = {
    "A01": "Broken Access Control",
    "A02": "Cryptographic Failures",
    "A03": "Injection",
    "A04": "Insecure Design",
    "A05": "Security Misconfiguration",
    "A06": "Vulnerable and Outdated Components",
    "A07": "Identification and Authentication Failures",
    "A08": "Software and Data Integrity Failures",
    "A09": "Security Logging and Monitoring Failures",
    "A10": "Server-Side Request Forgery",
}

CWE_TO_OWASP = {
    "CWE-79": "A03",   # XSS -> Injection
    "CWE-89": "A03",   # SQL Injection
    "CWE-78": "A03",   # OS Command Injection
    "CWE-352": "A01",  # CSRF -> Access Control
    "CWE-22": "A01",   # Path Traversal
    "CWE-200": "A02",  # Information Exposure
    "CWE-327": "A02",  # Weak Cryptography
    "CWE-287": "A07",  # Authentication Issues
    "CWE-918": "A10",  # SSRF
    "CWE-502": "A08",  # Deserialization
    "CWE-611": "A05",  # XXE -> Misconfiguration
}

Etapa 2: Validar Verdadeiros vs. Falsos Positivos

def triage_finding(finding):
    """Classifica a descoberta como true_positive, false_positive ou needs_review."""
    fp_indicators = [
        "Content-Security-Policy header not set",  # Frequentemente informativo
        "X-Content-Type-Options header missing",    # Cabeçalho de baixa severidade
        "Cookie without SameSite attribute",        # Dependente de contexto
    ]

    for indicator in fp_indicators:
        if indicator.lower() in finding.get("title", "").lower():
            if finding.get("severity", "").lower() in ("info", "low"):
                return "false_positive", "Descoberta informativa comum"

    # Verificar evidências de exploração confirmada

…