Auditorias: OWASP
O curso percorre o OWASP Top 10:2025 usando uma aplicação Rails como exemplo. Começa pela própria lista, pelo que mudou nela e pelo que o Rails trata por padrão. Depois vêm controle de acesso quebrado, injeção em SQL, comandos de shell e views, e autenticação e sessões. Também entram dependências e a pipeline de build, além de configuração, segredos e falhar com segurança. A última aula audita a aplicação na ordem do estrago provável e mostra o que os scanners não encontram.
O que você vai aprender
- ✓Como o OWASP Top 10:2025 se organiza e o que o Rails cobre por padrão
- ✓Dar escopo às consultas pela pessoa atual e escrever testes negativos de acesso
- ✓Achar injeção de SQL, de comando e XSS fora dos caminhos seguros do framework
- ✓Armazenamento de senha, mensagens que não enumeram contas e sessões
- ✓Controles de cadeia de suprimentos, cuidado com segredos e falhar fechando
- ✓Auditar uma aplicação na ordem do estrago provável
O OWASP Top 10, 2025
Trabalho de segurança sem um arcabouço é uma lista das coisas de que você por acaso lembrou. O OWASP Top 10 é o arcabouço que a maior parte do setor usa. É uma lista ordenada das categorias de fraqueza que causam vazamentos, revisada a cada poucos anos a partir de dados reais.
Ler a aula completa grátis →Currículo
7 aulasO OWASP Top 10, 2025
Apresenta o OWASP Top 10:2025, as duas entradas que mais mudaram e o que o Rails trata por padrão.
Controle de acesso quebrado, em Rails
Mostra como dar escopo à consulta pela pessoa atual, proteger rotas de admin, revisar listas de permit e testar recusas.
Injeção e as formas modernas dela
Trata de fragmentos SQL com lista de permitidos, comandos sem shell, html_safe, Markdown, Content Security Policy e injeção de prompt.
Autenticação e sessões
Explica o bcrypt, a política de senha única, como esconder quais contas existem, sessões, limitação de taxa e MFA.
Cadeia de suprimentos e dependências
Descreve A03 como todo o processo de construir e distribuir software, com SBOM, ferramentas de auditoria e lock files.
Configuração, segredos e falhar com segurança
Cobre configuração incorreta, rotação de segredos, falhar fechando, páginas de erro seguras e falhas parciais fora do banco.
Juntando tudo: auditando esta aplicação
Audita esta aplicação na ordem do estrago provável, com o que já está respondido, próximas perguntas e limites dos scanners.