Análise de aplicações no sector financeiro: vulnerabilidades e mitigações

• Autor(a) principal: Vieira, Tiago Miguel Paulino
• Data de Publicação: 2016
• Tipo de documento: Dissertação
• Idioma: por
• Título da fonte: Repositório Científico de Acesso Aberto de Portugal (Repositórios Cientìficos)
• Texto Completo: http://hdl.handle.net/10071/13240
• topic: Auditoria; Segurança informática; Web security; Análise de risco; Sector financeiro; Finance sector; Pentesting; Penetration testing; Vulnerability; Risk analysis; Dashboard; CVSS v3.0

A segurança de tecnologias de informação é actualmente uma preocupação crescente para indivíduos e organizações. Esta preocupação é ainda maior no sector financeiro, não só pelas quantias monetárias envolvidas, mas também pela informação sensível e privada de clientes e organizações. Como meio de aferir segurança de infraestruturas, redes, aplicações web e muitos outros activos tangíveis ou intangíveis, organizações estão a investir em testes que simulam o comportamento de um atacante malicioso mas, num ambiente controlado para identificar as suas próprias vulnerabilidades. Esta dissertação foca-se na análise dos resultados de auditorias de segurança conduzidos em diversas aplicações financeiras de uma entidade reguladora do sector com auxílio de ferramentas automáticas para avaliar o seu nível de maturidade. Para alcançar esta análise e classificação de risco com testes de intrusão, o processo foi idealizado de raiz desde a definição das “rules of engagement”, escolha da abordagem de testes, seleção de web scanners, realização de testes de intrusão, confirmação de vulnerabilidades e classificação das mesmas. Para registo e apresentação de resultados da auditoria de segurança e priorização de intervenções, foi criado um painel de instrumentos para acompanhamento das vulnerabilidades encontradas em qualquer auditoria de segurança categorizadas com a classificação de risco CVSS v3.0 e capaz de gerar relatórios – o resultado formal de qualquer auditoria baseada em testes de intrusão. Com base nesta auditoria, pode ser estabelecida uma relação com outras entidades reguladores no sector acerca das vulnerabilidades emergentes cujas aplicações web se baseiam nas mesmas tecnologias. Para concluir, as vulnerabilidades encontradas foram mapeadas contra os sistemas de vulnerabilidades mais comuns e severas como o OWASP Top 10 e identificado o impacto no regulador e entidades reguladas.