Skip to content

Commit c697e4d

Browse files
PauloASilvaPauloASilva
committed
Merge branch 'release/2.7.0'
2 parents 47649dc + afd8457 commit c697e4d

30 files changed

+1832
-1
lines changed

‎VERSION

+1-1
Original file line numberDiff line numberDiff line change
@@ -1 +1 @@
1-
2.6.0
1+
2.7.0

‎editions/2023/mkdocs.yml

+2
Original file line numberDiff line numberDiff line change
@@ -11,3 +11,5 @@ extra:
1111
lang: fr
1212
- name: Persian
1313
lang: fa
14+
- name: Português (Portugal)
15+
lang: pt-pt

‎editions/2023/pt-pt/0x00-header.md

+14
Original file line numberDiff line numberDiff line change
@@ -0,0 +1,14 @@
1+
---
2+
title: ''
3+
description: OWASP API Security Top 10 2023
4+
---
5+
6+
![OWASP LOGO](images/cover.jpg)
7+
8+
| | | |
9+
| - | - | - |
10+
| https://owasp.org | Distribuído ao abrigo da licença [Creative Commons Attribution-ShareAlike 4.0 International License][1] | ![Creative Commons License Logo](images/front-cc.png) |
11+
12+
[1]: http://creativecommons.org/licenses/by-sa/4.0/
13+
14+

‎editions/2023/pt-pt/0x00-notice.md

+14
Original file line numberDiff line numberDiff line change
@@ -0,0 +1,14 @@
1+
# Nota
2+
3+
Esta é a versão de texto do OWASP API Security Top 10, usada como fonte para
4+
quaisquer versões oficiais deste documento como por exemplo o website.
5+
6+
Contribuições para o projeto tais como comentários, correções ou traduções devem
7+
ser feitas aqui. Para mais detalhes sobre [Como Contribuir][1], por favor
8+
consulte a secção [CONTRIBUTING.md][1].
9+
10+
* Erez Yallon
11+
* Inon Shkedy
12+
* Paulo Silva
13+
14+
[1]: ../../../CONTRIBUTING.md

‎editions/2023/pt-pt/0x00-toc.md

+23
Original file line numberDiff line numberDiff line change
@@ -0,0 +1,23 @@
1+
# Tabela de Conteúdos
2+
3+
* [Tabela de Conteúdos](0x00-toc.md)
4+
* [Sobre a OWASP](0x01-about-owasp.md)
5+
* [Prefácio](0x02-foreword.md)
6+
* [Introdução](0x03-introduction.md)
7+
* [Notas da Versão](0x04-release-notes.md)
8+
* [Riscos de Segurança em APIs](0x10-api-security-risks.md)
9+
* [OWASP Top 10 API Security Risks – 2023](0x11-t10.md)
10+
* [API1:2023 Broken Object Level Authorization](0xa1-broken-object-level-authorization.md)
11+
* [API2:2023 Broken Authentication](0xa2-broken-authentication.md)
12+
* [API3:2023 Broken Object Property Level Authorization](0xa3-broken-object-property-level-authorization.md)
13+
* [API4:2023 Unrestricted Resource Consumption](0xa4-unrestricted-resource-consumption.md)
14+
* [API5:2023 Broken Function Level Authorization](0xa5-broken-function-level-authorization.md)
15+
* [API6:2023 Unrestricted Access to Sensitive Business Flows](0xa6-unrestricted-access-to-sensitive-business-flows.md)
16+
* [API7:2023 Server Side Request Forgery](0xa7-server-side-request-forgery.md)
17+
* [API8:2023 Security Misconfiguration](0xa8-security-misconfiguration.md)
18+
* [API9:2023 Improper Inventory Management](0xa9-improper-inventory-management.md)
19+
* [API10:2023 Unsafe Consumption of APIs](0xaa-unsafe-consumption-of-apis.md)
20+
* [O Que Se Segue Para Programadores](0xb0-next-devs.md)
21+
* [O que Se Segue Para DevSecOps](0xb1-next-devsecops.md)
22+
* [Metodologia e Dados](0xd0-about-data.md)
23+
* [Agradecimentos](0xd1-acknowledgments.md)

‎editions/2023/pt-pt/0x01-about-owasp.md

+62
Original file line numberDiff line numberDiff line change
@@ -0,0 +1,62 @@
1+
# Sobre a OWASP
2+
3+
Open Worldwide Application Security Project (OWASP) é uma comunidade aberta que
4+
se dedica a ajudar as organizações a desenvolver, adquirir e manter aplicações e
5+
APIs confiáveis.
6+
7+
A OWASP disponibiliza de forma livre e aberta:
8+
9+
* Ferramentas e normas de segurança aplicacional.
10+
* Livros completos sobre testes de segurança aplicacional, desenvolvimento
11+
de código seguro e revisão de código focada em segurança.
12+
* Apresentações e [vídeos][1].
13+
* [_Cheat Sheets_][2] sobre assuntos diversos.
14+
* Controlos e bibliotecas de segurança _standard_.
15+
* [Comunidades locais espalhadas por todo o mundo][3].
16+
* Investigação de ponta.
17+
* Múltiplas [conferências em todo o mundo][4].
18+
* [Listas de discussão][5] ([arquivo][6]).
19+
20+
Mais informação em: [https://www.owasp.org][7].
21+
22+
Todas as ferramentas, documentos, vídeos, apresentações e comunidades locais da
23+
OWASP são livres e abertos a todos os interessados em melhorar a segurança
24+
aplicacional.
25+
26+
Aconselhamos uma abordagem à segurança aplicacional como sendo um problema de
27+
pessoas, processos e tecnologia, porque as abordagens mais eficazes à segurança
28+
aplicacional necessitam de melhorias em todas estas áreas.
29+
30+
A OWASP é um novo tipo de organização. A nossa independência em relação a
31+
pressões comerciais permite-nos fornecer informação imparcial, prática e
32+
economicamente adequada sobre a segurança aplicacional.
33+
34+
A OWASP não está afiliada com nenhuma empresa tecnológica, embora suportemos o
35+
uso informado de tecnologias de segurança comerciais. A OWASP produz muitos
36+
tipos de materiais de uma forma colaborativa, transparente e aberta.
37+
38+
A fundação OWASP é uma entidade sem fins lucrativos o que assegura o sucesso a
39+
longo prazo do projeto. Quase todas as pessoas associadas à OWASP são
40+
voluntárias, incluindo a direção da OWASP, os líderes das comunidades locais, os
41+
líderes dos projetos e os seus membros. Suportamos investigação inovadora em
42+
segurança através de bolsas e infraestrutura.
43+
44+
Junte-se a nós!
45+
46+
## Direitos de Autor e Licença
47+
48+
![license](images/license.png)
49+
50+
Copyright © 2003-2023 The OWASP Foundation. Este documento é distribuído de
51+
acordo com a licença [Creative Commons Attribution Share-Alike 4.0 license][8].
52+
Para qualquer tipo de reutilização ou distribuição, deve deixar claro para
53+
terceiros os termos da licença deste trabalho.
54+
55+
[1]: https://www.youtube.com/user/OWASPGLOBAL
56+
[2]: https://cheatsheetseries.owasp.org/
57+
[3]: https://owasp.org/chapters/
58+
[4]: https://owasp.org/events/
59+
[5]: https://groups.google.com/a/owasp.org/forum/#!overview
60+
[6]: https://lists.owasp.org/mailman/listinfo
61+
[7]: https://www.owasp.org
62+
[8]: http://creativecommons.org/licenses/by-sa/4.0/

‎editions/2023/pt-pt/0x02-foreword.md

+47
Original file line numberDiff line numberDiff line change
@@ -0,0 +1,47 @@
1+
# Prefácio
2+
3+
As APIs - _Application Programming Interface_ têm um papel fundamental na
4+
inovação que observamos nos dias de hoje ao nível das aplicações. Desde a banca,
5+
retalho e transportes à Internet das Coisas (IoT), veículos autónomos e _Smart
6+
Cities_, as APIs são hoje um elemento crítico nas aplicações móveis, _Software
7+
as a Service_ (SaaS) e aplicações web, sejam elas destinadas ao público em
8+
geral, parceiros de negócio ou para uso interno das organizações.
9+
10+
Por definição as APIs expõem lógica aplicacional e dados sensíveis tais como
11+
informação pessoal (PII - _Personally Identifiable Information_), motivo pelo
12+
qual se têm vindo a tornar um alvo para os atacantes. Se não conseguirmos
13+
garantir a segurança das APIs será impossível continuar a inovar a um ritmo
14+
acelerado.
15+
16+
Apesar de continuar a fazer sentindo manter uma lista dos 10 principais
17+
problemas de segurança em aplicações web, devido à natureza particular das APIs,
18+
é importante haver também uma tal lista específica para APIs.
19+
A segurança das APIs foca-se nas estratégias e soluções para compreender e
20+
mitigar as vulnerabilidades e risco de segurança associado às APIs.
21+
22+
Se estiver familiarizado com o projeto [OWASP Top 10][1] com certeza notará as
23+
semelhanças entre os documentos: elas são propositadas para facilitar a leitura
24+
e adoção deste. Se por outro lado for a primeira vez que tem contacto com um
25+
documento da série OWASP Top 10, sugerimos que comece por ler as secções [Riscos
26+
de Segurança em APIs][2] e [Metodologia e Dados][3] antes de aprofundar a lista
27+
dos dez problemas de segurança mais críticos em APIs.
28+
29+
Pode contribuir para o OWASP API Security Top 10 com perguntas, comentários e
30+
ideias no repositório do projeto no GitHub:
31+
32+
* https://owasp.org/www-project-api-security/
33+
* https://github.com/OWASP/API-Security/blob/master/CONTRIBUTING.md
34+
35+
Pode ainda encontrar o OWASP API Security Top 10 em:
36+
37+
* https://owasp.org/www-project-api-security/
38+
* https://github.com/OWASP/API-Security
39+
40+
Gostaríamos de agradecer a todos os que participaram neste projeto, tornando-o
41+
possível com o seu empenho e contribuições. A lista de contribuidores
42+
encontra-se na secção [Agradecimentos][4]. Obrigado!
43+
44+
[1]: https://owasp.org/www-project-top-ten/
45+
[2]: ./0x10-api-security-risks.md
46+
[3]: ./0xd0-about-data.md
47+
[4]: ./0xd1-acknowledgments.md

‎editions/2023/pt-pt/0x03-introduction.md

+60
Original file line numberDiff line numberDiff line change
@@ -0,0 +1,60 @@
1+
# Introdução
2+
3+
## Bem-vindo ao OWASP API Security Top 10 - 2023!
4+
5+
Bem-vindo à segunda edição do OWASP API Security Top 10!
6+
7+
Este documento de consciencialização foi publicado pela primeira vez em 2019.
8+
Desde então, a indústria de segurança das APIs cresceu e ganhou maturidade. Nós
9+
acreditamos fortemente que este trabalho contribuiu positivamente para tal,
10+
devido a ter sido adotado rapidamente como referência na indústria.
11+
12+
As APIs desempenham um papel muito importante na arquitetura das aplicações
13+
modernas. Devido à inovação ter um ritmo diferente do que a sensibilização
14+
para a segurança, nós acreditamos que é importante concentrarmo-nos nas
15+
falhas de segurança mais comuns das APIs.
16+
17+
O objetivo principal do OWASP API Security Top 10 é educar todos aqueles
18+
envolvidos no desenvolvimento e manutenção de APIs, como por exemplo,
19+
programadores, _designers_, arquitetos, gestores ou organizações. Pode saber
20+
mais sobre o projeto API Security visitando a [página do projeto][1].
21+
22+
Se não estiver familiarizado com a série OWASP Top 10, nós recomendamos que veja
23+
pelo menos os seguintes projetos Top 10:
24+
25+
* [OWASP Cloud-Native Application Security Top 10][2]
26+
* [OWASP Desktop App Security Top 10][3]
27+
* [OWASP Docker Top 10][4]
28+
* [OWASP Low-Code/No-Code Top 10][5]
29+
* [OWASP Machine Learning Security Top Ten][6]
30+
* [OWASP Mobile Top 10][7]
31+
* [OWASP TOP 10][8]
32+
* [OWASP Top 10 CI/CD Security Risks][9]
33+
* [OWASP Top 10 Client-Side Security Risks][10]
34+
* [OWASP Top 10 Privacy Risks][11]
35+
* [OWASP Serverless Top 10][12]
36+
37+
Nenhum destes projetos substitui qualquer outro: se está a trabalhar numa
38+
aplicação móvel alimentada por uma API, então é melhor ler os dois documentos
39+
Top 10 correspondentes. O mesmo é válido se estiver a trabalhar num website ou
40+
numa aplicação desktop alimentados por APIs.
41+
42+
Na secção [Metodologia e Dados][13] pode ler mais sobre como esta edição foi
43+
criada. Por agora encorajamos todos a contribuírem com perguntas, comentários e
44+
ideias no nosso [repositório no GitHub][14] ou através da [_Mailing list_][15].
45+
46+
[1]: https://owasp.org/www-project-api-security/
47+
[2]: https://owasp.org/www-project-cloud-native-application-security-top-10/
48+
[3]: https://owasp.org/www-project-desktop-app-security-top-10/
49+
[4]: https://owasp.org/www-project-docker-top-10/
50+
[5]: https://owasp.org/www-project-top-10-low-code-no-code-security-risks/
51+
[6]: https://owasp.org/www-project-machine-learning-security-top-10/
52+
[7]: https://owasp.org/www-project-mobile-top-10/
53+
[8]: https://owasp.org/www-project-top-ten/
54+
[9]: https://owasp.org/www-project-top-10-ci-cd-security-risks/
55+
[10]: https://owasp.org/www-project-top-10-client-side-security-risks/
56+
[11]: https://owasp.org/www-project-top-10-privacy-risks/
57+
[12]: https://owasp.org/www-project-serverless-top-10/
58+
[13]: ./0xd0-about-data.md
59+
[14]: https://github.com/OWASP/API-Security
60+
[15]: https://groups.google.com/a/owasp.org/forum/#!forum/api-security-project

‎editions/2023/pt-pt/0x04-release-notes.md

+49
Original file line numberDiff line numberDiff line change
@@ -0,0 +1,49 @@
1+
# Notas da Versão
2+
3+
Esta é a segunda edição do OWASP API Security Top 10, exatamente quatro anos
4+
após a primeira versão. Muito mudou no panorama das API (a nível de
5+
segurança). O tráfego das API aumentou a um ritmo acelerado, alguns protocolos
6+
de API ganharam muito mais popularidade, surgiram muitos novos vendedores/
7+
soluções de segurança para API e, claro, os atacantes desenvolveram novas
8+
capacidades e técnicas para comprometer APIs. Já era hora de atualizar a lista
9+
dos dez riscos de segurança de API mais críticos.
10+
11+
Com uma indústria de segurança de API mais madura, pela primeira vez, houve [um
12+
apelo público para dados][1]. Infelizmente, não foram fornecidos dados, mas
13+
com base na experiência da equipa do projeto, numa análise cuidadosa por
14+
especialistas em segurança de API e no feedback da comunidade sobre a versão
15+
preliminar, construímos esta nova lista. Na [secção Metodologia e Dados][2],
16+
encontrará mais detalhes sobre como esta versão foi elaborada. Para mais
17+
detalhes sobre os riscos de segurança, consulte a [secção Riscos de Segurança
18+
em APIs][3].
19+
20+
O OWASP API Security Top 10 2023 é um documento de sensibilização prospetivo
21+
para uma indústria de ritmo acelerado. Não substitui outros TOP 10. Nesta
22+
edição:
23+
24+
* Combinámos *Excessive Data Exposure* e *Mass Assignment*, focando na causa
25+
comum: falhas na validação de autorização ao nível das propriedades do objeto.
26+
* Damos mais ênfase ao consumo de recursos, em vez de nos concentrarmos na
27+
rapidez com que são esgotados.
28+
* Criámos uma nova categoria "*Unrestricted Access to Sensitive Business Flows*"
29+
para abordar novas ameaças, incluindo a maioria daquelas que podem ser
30+
mitigadas através de *rate limiting*.
31+
* Adicionámos "*Unsafe Consumption of APIs*" para abordar algo que começámos a
32+
observar: os atacantes começaram a procurar serviços integrados de um alvo
33+
para os comprometer, em vez de atingirem diretamente as APIs do seu alvo. Este
34+
é o momento certo para começar a sensibilizar sobre este risco crescente.
35+
36+
As APIs desempenham um papel cada vez mais importante na arquitetura moderna de
37+
microsserviços, *Single Page Applications* (SPAs), aplicações móveis, Internet
38+
das Coisas (IoT), etc. O OWASP API Security Top 10 é um esforço necessário para
39+
criar sensibilização sobre os problemas de segurança modernos das APIs.
40+
41+
Esta atualização só foi possível devido ao grande esforço de vários voluntários,
42+
listados na secção de [Agradecimentos][4].
43+
44+
Obrigado!
45+
46+
[1]: https://owasp.org/www-project-api-security/announcements/cfd/2022/
47+
[2]: ./0xd0-about-data.md
48+
[3]: ./0x10-api-security-risks.md
49+
[4]: ./0xd1-acknowledgments.md

‎editions/2023/pt-pt/0x10-api-security-risks.md

+49
Original file line numberDiff line numberDiff line change
@@ -0,0 +1,49 @@
1+
# Riscos de Segurança em APIs
2+
3+
Para a análise de risco usámos a [metodologia de avaliação de risco da
4+
OWASP][1].
5+
6+
A tabela seguinte resume a terminologia associada à pontuação correspondente ao
7+
nível de risco.
8+
9+
| Agentes Ameaça | Abuso | Prevalência | Deteção | Impacto Técnico | Impacto Negócio |
10+
| :-: | :-: | :-: | :-: | :-: | :-: |
11+
| Específico da API | Fácil **3** | Predominante **3** | Fácil **3** | Grave **3** | Específico do Negócio |
12+
| Específico da API | Moderado **2** | Comum **2** | Moderado **2** | Moderado **2** | Específico do Negócio |
13+
| Específico da API | Difícil **1** | Incomum **1** | Difícil **1** | Reduzido **1** | Específico do Negócio |
14+
15+
**Nota**: Esta abordagem não toma em consideração a probabilidade do Agente de
16+
Ameaça. Também não toma em consideração nenhum detalhe técnico associado à sua
17+
API. Qualquer um destes fatores podem ter impacto significativo na probabilidade
18+
de um atacante encontrar e abusar duma falha de segurança particular. Estes
19+
indicadores não tomam em consideração o impacto atual no seu negócio. Terá de
20+
ser a sua organização a decidir qual o nível de risco para a segurança das suas
21+
aplicações e APIs que está disposta a aceitar, baseado na cultura, indústria e
22+
regulação a que está sujeita. O propósito do OWASP API Security Top 10 não é
23+
fazer essa análise por si. Uma vez que esta edição não é baseada em dados, a
24+
prevalência resulta de um consenso entre os membros da equipa.
25+
26+
## Referências
27+
28+
### OWASP
29+
30+
* [OWASP Risk Rating Methodology][1]
31+
* [Article on Threat/Risk Modeling][2]
32+
33+
### Externas
34+
35+
* [ISO 31000: Risk Management Std][3]
36+
* [ISO 27001: ISMS][4]
37+
* [NIST Cyber Framework (US)][5]
38+
* [ASD Strategic Mitigations (AU)][6]
39+
* [NIST CVSS 3.0][7]
40+
* [Microsoft Threat Modeling Tool][8]
41+
42+
[1]: https://owasp.org/www-project-risk-assessment-framework/
43+
[2]: https://owasp.org/www-community/Threat_Modeling
44+
[3]: https://www.iso.org/iso-31000-risk-management.html
45+
[4]: https://www.iso.org/isoiec-27001-information-security.html
46+
[5]: https://www.nist.gov/cyberframework
47+
[6]: https://www.asd.gov.au/infosec/mitigationstrategies.htm
48+
[7]: https://nvd.nist.gov/vuln-metrics/cvss/v3-calculator
49+
[8]: https://www.microsoft.com/en-us/download/details.aspx?id=49168

0 commit comments

Comments
 (0)