Início
Referências e fontes

Fontes da OWASP

De onde vem o conhecimento das especializações nativas da categoria OWASP, mapeado para as páginas canônicas de ataques e Cheat Sheets da OWASP.

Este documento mapeia cada ataque (www-community) e cada Cheat Sheet (CheatSheetSeries) da OWASP para uma categoria de segurança, cada um com o link para a página pública canônica dele. Dentro de uma categoria, itens equivalentes dividem uma única linha da lista: os ataques e as cheat sheets que tratam do mesmo risco aparecem juntos, separados por vírgula. Itens sem uma contrapartida direta ficam em uma linha própria.

  • O crédito é da OWASP. Os ataques ficam em https://owasp.org/www-community/attacks/<attack> e as cheat sheets em https://cheatsheetseries.owasp.org/cheatsheets/<cheat>.html.

1. Injection (genérico)​

2. Injection em SQL e bancos de dados​

3. Injection de comandos do sistema operacional​

4. Injection em LDAP, XPath e XML​

5. Cross-Site Scripting (XSS)​

6. Cross-Site Request Forgery (CSRF) e clickjacking​

7. Redirecionamentos e encaminhamentos​

8. Controle de acesso e autorização​

9. Autenticação e credenciais​

10. Gerenciamento de sessão​

11. Federação de identidade (OAuth, SAML e JWT)​

12. Criptografia e segurança de transporte​

13. Server-Side Request Forgery (SSRF)​

14. Path traversal e manipulação de arquivos​

15. Abuso do protocolo HTTP (headers, cache e splitting)​

16. Encoding e content spoofing​

17. Injection em CSV e planilhas​

18. CORS (Cross-Origin Resource Sharing)​

19. Negação de serviço​

20. Segurança de memória e código nativo​

21. Código móvel e execução de código não confiável​

22. Desserialização​

23. Malware e ameaças no lado do cliente​

24. Logging, repúdio e tratamento de erros​

25. Lógica de negócio e abuso de funcionalidade​

Lógica de negócio e abuso de funcionalidade não têm uma superfície única no código que uma especialização por superfície defenda: a defesa é um design específico da aplicação, o mesmo raciocínio que conduz a modelagem de ameaças do projeto. Movido para "Fora do escopo".

26. Segurança de IA, LLMs e agentes​

27. Prototype pollution e cross-site leaks​

28. Frameworks e plataformas de linguagem​

29. Front-end web e navegador​

30. APIs e serviços​

31. Nuvem, contêineres e infraestrutura​

A configuração de contêineres e workloads é configuração como código que quem desenvolve entrega junto com o app (Dockerfile, Compose, securityContext do Pod), uma superfície real que o harden corrige e o verify comprova, então ela está no escopo. A administração do cluster (RBAC, etcd, API server, admission, segmentação de rede) é domínio de quem opera a infraestrutura e fica fora do escopo.

32. Cadeia de suprimentos e CI/CD​

33. Segredos e configuração​

O gerenciamento de segredos é operacional: cofres, CI/CD, configuração de nuvem e rotação. A única faceta no nível do código (um segredo fixo no código-fonte) é uma varredura determinística, não uma especialização de risco. Movido para "Fora do escopo".

34. Processo, design e governança​

A proteção da privacidade do usuário é questão de política e de design (minimização de dados, transparência e retenção), não uma superfície no código que uma especialização defenda. Movido para "Fora do escopo".

35. Pagamentos e conformidade​

36. Sistemas embarcados, IoT e domínios especializados​

A segurança automotiva e a de drones são domínios de sistemas embarcados (barramento CAN, firmware OTA, integridade de sensores e rádio, acesso físico), e não o código-fonte de aplicações web e APIs que o Lagune audita. Movido para "Fora do escopo".

Fora do escopo (sem superfície no código)​

Estes itens não são terreno de especializações e não têm checkbox: são governança, processo, hardening operacional ou uso de frameworks, sem uma superfície única no código que uma especialização por superfície defenda. O valor deles para a segurança é real, mas está no processo e na arquitetura (ou, no caso de um framework, na skill da própria linguagem), e não em uma defesa que este catálogo entrega. Aparecem como referência, não como trabalho a fazer.