OWASP FLORIPA DAY 2012 & TOP 10 Gabriella de Bem

Apresentação em tema: "OWASP FLORIPA DAY 2012 & TOP 10 Gabriella de Bem"— Transcrição da apresentação:

1 OWASP FLORIPA DAY 2012 & TOP 10 Gabriella de Bem gabidebem@owasp.org
IT Security Consultant OWASP Floripa Chapter Leader Abril 2, 2012

2 Agenda O que é? O que oferecem? Como participar? Capítulo de Florianópolis OWASP FLORIPA DAY 2012 Principais projetos OWASP TOP 10

3 Open Web Application Security Project
O Que é OWASP? Open Web Application Security Project uma comunidade aberta dedicada a ajudar as organizações a desenvolver, comprar e manter aplicações que possam ser confiáveis. Promover o desenvolvimento seguro Auxiliar a tomada de decisão quanto ao risco Oferecer recursos gratuitos Promover a contribuição e compartilhamento de informação Uma organização aberta, dedicada a auxiliar organizações a desenvolver, comprar e manter aplicações que possam ser confiáveis. Partindo deste princípio, oferece diversas ferramentas open source, documentos, informações básicas, guias, apresentações, videos e blogs no site do OWASP para ajudá-lo a iniciar nesse mundo. Você também encontrará uma rica comunidade de pessoas em nossas listas de discussão, nos capítulos locais, e atendendo nossas conferências dispostas a dar uma força.

4 Organização sem fins lucrativos Regida por voluntários
O Que é OWASP? Organização sem fins lucrativos US 501c3 Regida por voluntários Compartilhar conhecimento Liderar projetos Realizar apresentações Administração Financiada por patrocinadores Membership individuais/empresariais Projetos suportados por empresas A fundação OWASP é uma organização sem fins lucrativos e registrada sob o 501c3 (IRS) US. Todo os membros são voluntários que dedicam seu tempo e energia para a organização. São diversas as atividades realizadas pelos voluntários, começando pelo compartilhamento do conhecimento, a proposta e liderança de projetos, a realização de apresentações, criação de ferramentas, e a até mesmo a administração da Fundação OWASP. Ainda sobre a fundação, toda essa estrutura é fomentada por patrocinadores. Existem duas principais formas de patrocinar a fundação: associando-se como empresa ou individualmente ou por meio de patrocínio de projetos. Para se ter uma idéia da credibilidade que a fundação está alcançando, em 2007 recebeu US$329K, dos quais 72K foram de associações e US$257 das inscrições em conferencias, treinamentos e patrocínios. Atualmente, o balanço está em torno de US$400K. Toda essa verba é revertida para a comunidade, por meio das temporadas de projetos, organização das conferências e encontros dos capítulos, e pagamento dos poucos funcionários.

5 Principais Valores ABERTO INOVAÇÃO GLOBAL INTEGRIDADE
Tudo no OWASP é radicalmente transparente, das finanças ao código. INOVAÇÃO OWASP encoraja e apoia inovações/experimentos para solucionar os desafios de segurança de aplicações. GLOBAL Qualquer pessoa no mundo é encorajada a participar da comunidade da OWASP. INTEGRIDADE OWASP é uma comunidade global, honesta e confiável e um fornecedor neutro.

6 OWASP em Números + de 420.000 page views por mês
230 GB de download por mês aproximadamente + de usúários do wiki 200 atualizações por dia em média 18 capítulos no Brasil: Belo Horizonte, Brasília, Campinas, Cuiabá, Curitiba, Fortaleza, Goiânia, Maceió, Manaus, Natal, Paraíba, Porto Alegre, Recife, Rio de Janeiro, São Luís, São Paulo, Vitória e recentemente o capítulo de Florianópolis. + de 48 projetos de ferramentas e documentos + de artigos Maior base de conhecimento em segurança da aplicações do mundo. Com aproximados 4000 artigos, o OWASP é a maior base de conhecimento de informação em segurança de aplicações do mundo. Porém, maior nem sempre é a melhor, portanto deixe-me explicar um pouco melhor. O Wiki está organizada há 2 anos – o mesmo software da wikipedia – e recebe por volta de 200 atualizações diárias. A maioria das modificações são pequenas, porém existem artigos totalmente reescritos ou novos que são criados. E com isso, muita informação redundante foi disponibilizada. Para tentar combater a desorganização, foram criados projetos específicos para limpar a base de conhecimento e minimizar as duplicações. Existe um grupo de revisores que recebem as modificações via RSS e são responsáveis em aprovar ou não as alterações. Esses revisores também ajudam nos casos de tentativas de defacement do wiki. Todo esse trabalho é feito para garantir a qualidade dos 48 projetos existentes. Assim que os projetos alcancem o que chamamos de qualidade de publicação, são gerados livros em formato PDF para livre distribuição. Você pode fazer download ou pedir uma cópia impressa por meio do site Lulu.com. A Fundação OWASP não acrescenta 1 centavo no valor dessa cópia. Os livros são licenciados sob a licença Creative Commons. Existe uma outra ação de filtragem de conteúdo que é realizada. Conforme os princípios da fundação OWASP, nós tentamos remover qualquer informação com apelo comercial, exceto as menções sobre os patrocinadores.

7 Publicações, artigos e padrões
O Que Oferece? Publicações, artigos e padrões OWASP Top 10 OWASP Guide Testing Guide Softwares de Teste e Treinamento WebGoat WebScarab Capítulos locais, Listas de discussão e conferências Livre distribuição (licenças GNU LGPL e GFDL / CC)

8 Base de conhecimento viva!
2001 2003 2005 2007 2009

9 Produção artigos/conteúdo Lista de discussões Envolvimento em projetos
Como Participar? Acesse Produção artigos/conteúdo Lista de discussões Envolvimento em projetos Temporadas de códigos Novas idéias Projetos Alpha/Beta Apresentações/Divulgação Membership ...

10 Capítulo Florianópolis
OWASP Florianópolis Capítulo Florianópolis Líderes: Gabriella de Bem e Tiago Natel de Moura Atividades: Tradução CLASP (SDL) Apresentações: OWASP FLORIPA DAY 2012 Universidades/Faculdades Voluntários?!?! Alguém?!?

11 OWASP Membership Quanto? Junte-se a nós e torne-se um associado!
Financia manutenção dos projetos Referência no site (empresas) Descontos em conferências e treinamentos Participe das Eleições Globais e vote em questões que moldam a direção da comunidade Aumente sua rede pessoal de contatos Quanto? Individual: 50 dólares anuais

12 OWASP FLORIPA DAY Midias Sociais Quando? Onde? Quanto?!
15 e 16 de setembro de 2012 Centro de Eventos do Sistema FIESC Inscrições não abertas ainda: 02 dias de palestras (nacionais e internacionais) + ou - 80 reais Midias Sociais Wiki Owasp: Facebook: Twitter: em breve.

13 OWASP Membership Empresas mantenedoras

14 Top 10 Vulnerabilidades em aplicações Web
OWASP Top 10 Top 10 Vulnerabilidades em aplicações Web Atualizado a cada 3 anos. Baseado em dados obtidos de aplicações na Internet Aceitação crescente pela indústria Federal Trade Commission (US Gov) US Defense Information Systems Agency VISA (Cardholder Information Security Program) PCI Um bom começo para criação de práticas seguras de desenvolvimento nas organizações 75% das vulnerabilidades estão no nível das aplicações – Gartner.

15 gabidebem@owasp.org http://www.owasp.org/index.php/Florianopolis
Perguntas e Respostas