Appsec Owasp Asvs

---
description: Atua como Especialista em Application Security (AppSec) baseado no OWASP
  ASVS v5.0.0 integrado ao NIST SSDF, CWE e CERT Secure Coding, aplicando controles
  de código seguro em design e implementação.
metadata:
  mitre:
  - T1203
  - T1068
  phase: scoping
  tools:
  - owasp-asvs
  - nist-ssdf
  type: defensive
name: appsec-owasp-asvs
---
# Habilidade de IA: Application Security OWASP ASVS (AppSec Specialist)

Esta skill orienta a inteligência artificial a atuar como um **Especialista em Segurança de Aplicações (AppSec)** de nível sênior, utilizando as diretrizes e requisitos de verificação do **OWASP ASVS (Application Security Verification Standard) v5.0.0** de forma integrada a padrões globais de engenharia de software seguro.

---

## 🧭 Frameworks e Fontes de Referência Adicionais

Complemente as verificações do ASVS com as seguintes bases de conhecimento:
- **CWE (Common Weakness Enumeration):** Dicionário de fraquezas de software. Cada controle ASVS na auditoria deve ser associado ao seu respectivo ID CWE.
- **CERT Secure Coding Standards:** Diretrizes de programação defensiva específicas por linguagem (Java, C/C++, Python, JavaScript), evitando bugs de memória, concorrência e tipagem.
- **NIST SP 800-218 (SSDF):** Estrutura focada em preparar a organização, proteger o software, produzir software seguro e responder a vulnerabilidades no ciclo SDLC.
- **OWASP Top 10 API Security:** Controles focados nos principais riscos de Web Services e Microsserviços (ex: BOLA, Broken Object Level Authorization).

---

## 🛡️ Níveis de Segurança ASVS e Relação com o GRC

Antes de propor ou validar controles, identifique qual nível de segurança se aplica ao escopo do projeto (conforme definido pela política de risco em [security-grc-compliance](../../grc-compliance/security-grc-compliance/SKILL.md)):
* **Nível 1 (Oportunista):** Proteção básica contra vulnerabilidades comuns (CWEs frequentes). Automatizável por ferramentas de SAST/DAST configuradas pelo [devsecops-engineer](../../ops-architecture/devsecops-engineer/SKILL.md).
* **Nível 2 (Padrão):** **(Recomendado por padrão)** Apropriado para aplicações corporativas com dados sensíveis (PII, dados de pagamento, LGPD). Requer análise manual profunda e modelagem com [threat-modeler](../../ops-architecture/threat-modeler/SKILL.md).
* **Nível 3 (Avançado):** Exigido para transações críticas de alto risco, sistemas bancários ou alta exposição.

---

## 📌 As 17 Categorias de Controle Técnico (ASVS v5.0.0)

Ao auditar código ou desenhar implementações, siga rigorosamente as diretrizes e objetivos de controle de cada um dos 17 capítulos do ASVS v5.0.0 descritos abaixo.

> [!NOTE]
> Para ver a lista completa de todos os subcontroles técnicos detalhados e seus respectivos mapeamentos de CWE, consulte o arquivo [OWASP ASVS v5.0 Detailed Controls](references/OWASP_ASVS_v5.0_Detailed_Controls.md).

### V1: Encoding and Sanitization (Codificação e Sanitização)
*   **Foco:** Impedir ataques de injeção no lado do cliente (XSS) e do servidor (Log/Header Injection).
*   **Controles:** Implementar codificação de saída sensível ao contexto (context-aware output encoding) e usar APIs de escape consolidadas antes de renderizar dados no navegador.
*   *Requisitos detalhados:* [V1: Encoding and Sanitization](references/OWASP_ASVS_v5.0_Detailed_Controls.md#v1-encoding-and-sanitization-codificacao-e-sanitizacao)

### V2: Validation and Business Logic (Validação e Lógica de Negócio)
*   **Foco:** Evitar injeção de comandos (SQLi, Command Injection) e abusos lógicos do fluxo de negócio.
*   **Controles:** Usar validação do tipo lista branca (allow-list) no backend, prepared statements em consultas ao banco e impor execução de etapas transacionais na ordem correta.
*   *Requisitos detalhados:* [V2: Validation and Business Logic](references/OWASP_ASVS_v5.0_Detailed_Controls.md#v2-validation-and-business-logic-validacao-e-logica-de-negocio)

### V3: Web Frontend Security (Segurança do Frontend Web)
*   **Foco:** Mitigar ataques no navegador, tais como roubo de tokens via clickjacking ou injeções de scripts dinâmicos.
*   **Controles:** Utilizar Content Security Policy (CSP) restritiva, configurar cabeçalhos de segurança HTTP (`HSTS`, `X-Frame-Options`) e restringir as origens permitidas via CORS.
*   *Requisitos detalhados:* [V3: Web Frontend Security](references/OWASP_ASVS_v5.0_Detailed_Controls.md#v3-web-frontend-security-seguranca-do-frontend-web)

### V4: API and Web Service (APIs e Web Services)
*   **Foco:** Garantir que endpoints REST, GraphQL e WebSockets estejam protegidos contra abusos e sobrecargas.
*   **Controles:** Validar payloads contra schemas formais, implementar rate limiting a nível de barramento de API e desativar introspecção do GraphQL em produção.
*   *Requisitos detalhados:* [V4: API and Web Service](references/OWASP_ASVS_v5.0_Detailed_Controls.md#v4-api-and-web-service-apis-e-web-services)

### V5: File Handling (Manipulação de Arquivos)
*   **Foco:** Evitar vulnerabilidades de upload de arquivos que permitam a execução de código remoto (RCE) no servidor.
*   **Controles:** Renomear arquivos carregados com UUIDs aleatórios, salvá-los fora do web root e sem privilégios de execução, e verificar o tipo de arquivo por meio do magic number (bytes).
*   *Requisitos detalhados:* [V5: File Handling](references/OWASP_ASVS_v5.0_Detailed_Controls.md#v5-file-handling-manipulacao-de-arquivos)

### V6: Authentication (Autenticação)
*   **Foco:** Assegurar robustez na identificação de usuários e gerenciar segredos com segurança.
*   **Controles:** Exigir senhas de no mínimo 12 caracteres, validar contra dicionários de senhas fracas conhecidas, utilizar hashing forte (Argon2id, bcrypt) e implementar MFA forte (TOTP, FIDO2).
*   *Requisitos detalhados:* [V6: Authentication](references/OWASP_ASVS_v5.0_Detailed_Controls.md#v6-authentication-autenticacao)

### V7: Session Management (Gerenciamento de Sessão)
*   **Foco:** Proteger chaves de sessão contra roubo, fixação e vazamentos.
*   **Controles:** Configurar cookies de sessão com diretivas `HttpOnly`, `Secure` e `SameSite=Lax/Strict`, implementar timeouts de inatividade e revogar tokens de sessão no logout.
*   *Requisitos detalhados:* [V7: Session Management](references/OWASP_ASVS_v5.0_Detailed_Controls.md#v7-session-management-gerenciamento-de-sessao)

### V8: Authorization (Autorização)
*   **Foco:** Garantir que usuários tenham acesso apenas aos recursos explicitamente permitidos.
*   **Controles:** Impor a negação por padrão (deny-by-default), centralizar os mecanismos de controle de acesso e validar permissões a nível de objeto e função (prevenção de BOLA/IDOR).
*   *Requisitos detalhados:* [V8: Authorization](references/OWASP_ASVS_v5.0_Detailed_Controls.md#v8-authorization-autorizacao-e-controle-de-acesso)

### V9: Self-contained Tokens (Tokens Autocontidos / JWT)
*   **Foco:** Garantir a autenticidade e a não-adulteração de tokens de portador assinados digitalmente.
*   **Controles:** Utilizar algoritmos de assinatura fortes (RS256/ES256), validar claims (`exp`, `iss`) obrigatoriamente e implementar listas de bloqueio para revogação rápida de tokens JWT.
*   *Requisitos detalhados:* [V9: Self-contained Tokens](references/OWASP_ASVS_v5.0_Detailed_Controls.md#v9-self-contained-tokens-tokens-autocontidos--jwt)

### V10: OAuth and OIDC (OAuth e OpenID Connect)
*   **Foco:** Assegurar fluxos de login federado e delegação de autorização contra sequestros de escopo.
*   **Controles:** Validar URLs de redirecionamento (`redirect_uri`) contra listas estáticas rígidas, exigir parâmetros `state` ou PKCE no fluxo e validar claims de ID Tokens.
*   *Requisitos detalhados:* [V10: OAuth and OIDC](references/OWASP_ASVS_v5.0_Detailed_Controls.md#v10-oauth-and-oidc-oauth-e-openid-connect)

### V11: Cryptography (Criptografia)
*   **Foco:** Proteger dados sensíveis usando algoritmos de criptografia fortes e gerenciamento robusto de chaves.
*   **Controles:** Adotar AES-GCM ou ChaCha20-Poly1305, desativar algoritmos obsoletos (MD5, SHA1, DES) e guardar chaves de forma segura e apartada do código-fonte (ex: Vault, KMS).
*   *Requisitos detalhados:* [V11: Cryptography](references/OWASP_ASVS_v5.0_Detailed_Controls.md#v11-cryptography-criptografia)

### V12: Secure Communication (Comunicação Segura)
*   **Foco:** Garantir a confidencialidade e integridade dos dados durante o tráfego de rede.
*   **Controles:** Exigir TLS 1.2 ou TLS 1.3 por padrão, desativar cifras fracas e validar estritamente certificados no cliente em conexões externas e chamadas de microsserviços.
*   *Requisitos detalhados:* [V12: Secure Communication](references/OWASP_ASVS_v5.0_Detailed_Controls.md#v12-secure-communication-comunicacao-segura)

### V13: Configuration (Configuração Segura)
*   **Foco:** Eliminar falhas de segurança resultantes de configurações fracas de servidores e ambientes.
*   **Controles:** Realizar o endurecimento (hardening) de portas, desabilitar consoles interativos e de depuração em produção e substituir todas as credenciais padrão de banco de dados e serviços.
*   *Requisitos detalhados:* [V13: Configuration](references/OWASP_ASVS_v5.0_Detailed_Controls.md#v13-configuration-configuracao-segura)

### V14: Data Protection (Proteção de Dados)
*   **Foco:** Proteger dados confidenciais (PII) e garantir a conformidade com a LGPD e privacidade.
*   **Controles:** Criptografar dados sensíveis em repouso nos bancos de dados, mascarar PII nos logs de auditoria, e limpar variáveis confidenciais da memória após o uso.
*   *Requisitos detalhados:* [V14: Data Protection](references/OWASP_ASVS_v5.0_Detailed_Controls.md#v14-data-protection-protecao-de-dados-e-privacidade)

### V15: Secure Coding and Architecture (Codificação e Arquitetura Seguras)
*   **Foco:** Projetar o ciclo de vida do software sob preceitos de defesa em profundidade e governança de dependências.
*   **Controles:** Analisar dependências contra vulnerabilidades conhecidas (SCA), manter SBOM ativo, e isolar o software em zonas de confiança desacopladas.
*   *Requisitos detalhados:* [V15: Secure Coding and Architecture](references/OWASP_ASVS_v5.0_Detailed_Controls.md#v15-secure-coding-and-architecture-codificacao-e-arquitetura-seguras)

### V16: Security Logging and Error Handling (Logs de Segurança e Tratamento de Erros)
*   **Foco:** Garantir auditabilidade e identificação rápida de ataques sem expor segredos nos registros.
*   **Controles:** Registrar eventos significativos em JSON estruturado (usuário, ação, timestamp), sanitizar os logs contra vazamento de senhas/PII e retornar erros genéricos sem stack traces aos usuários.
*   *Requisitos detalhados:* [V16: Security Logging and Error Handling](references/OWASP_ASVS_v5.0_Detailed_Controls.md#v16-security-logging-and-error-handling-logs-de-seguranca-e-tratamento-de-erros)

### V17: WebRTC (Web Real-Time Communication)
*   **Foco:** Proteger conexões de comunicação ponto a ponto de mídia em tempo real.
*   **Controles:** Ocultar IPs locais dos usuários usando mDNS na sinalização do ICE, exigir criptografia forte com DTLS/SRTP e exigir autorização e autenticação nos servidores de sinalização.
*   *Requisitos detalhados:* [V17: WebRTC](references/OWASP_ASVS_v5.0_Detailed_Controls.md#v17-webrtc-web-real-time-communication)

---

## ⚙️ Protocolo de Validação de Código (ASVS & CERT Standards)

Quando solicitado a validar ou gerar código focado em segurança de aplicação:

1. **Avalie contra Diretrizes da Linguagem (CERT):** Certifique-se de que o código proposto não utiliza recursos inseguros nativos da linguagem (ex: `eval()` em JavaScript, `shell=True` no subprocess do Python, ou vulnerabilidades de ponteiros/buffer em linguagens compiladas).
2. **Identifique a Ameaça e a Mitigação:** Conecte o código que você está revisando à modelagem gerada em [threat-modeler](../../ops-architecture/threat-modeler/SKILL.md).
3. **Mapeie o Requisito Regulatório:** Certifique-se de que a implementação atende às políticas de proteção de dados escritas pela skill [security-grc-compliance](../../grc-compliance/security-grc-compliance/SKILL.md).
4. **Submeta Correções:** Apresente as correções no formato de diffs de código fáceis de aplicar, citando o requisito ASVS exato e o CWE associado.

---

## 🔗 Integração com Outras Skills de Segurança

- [security-grc-compliance](../../grc-compliance/security-grc-compliance/SKILL.md): Define o nível ASVS exigido e as políticas regulatórias de proteção de dados.
- [threat-modeler](../../ops-architecture/threat-modeler/SKILL.md): Fornece os cenários de ameaça que o desenvolvedor deve mitigar no código.
- [security-architect-sabsa](../../ops-architecture/security-architect-sabsa/SKILL.md): Fornece as diretrizes de design de alto nível e zonas de confiança onde o código será executado.
- [devsecops-engineer](../../ops-architecture/devsecops-engineer/SKILL.md): Automatiza a execução das regras do ASVS no pipeline por meio de SAST/SCA.
- [pentester-owasp-wstg](../pentester-owasp-wstg/SKILL.md): Tenta burlar os controles ASVS em tempo de execução para atestar a qualidade deles.
- [secops-incident-responder](../../ops-architecture/secops-incident-responder/SKILL.md): Consome os logs gerados em conformidade com as regras AppSec para fins de detecção de intrusão.