Glossário de segurança web e WordPress

A

• 

  Ataque à cadeia de suprimentos

  Um ataque à cadeia de suprimentos (supply chain attack) compromete um fornecedor de software, uma dependência ou um canal de atualização para atingir os…

• 

  Ataque DDoS

  Um ataque DDoS (negação de serviço distribuída) tenta deixar um site ou servidor indisponível inundando-o de tráfego ou de requisições enviadas por um grande…

• 

  Ataque de força bruta

  Um ataque de força bruta consiste em testar automaticamente um número enorme de senhas, ou de pares de nome de usuário e senha, até…

• 

  Autenticação de dois fatores (2FA)

  A autenticação de dois fatores (2FA) acrescenta à senha uma segunda prova de identidade no login: um código temporário calculado por um aplicativo, uma…

B

• 

  Backdoor (porta dos fundos)

  Um backdoor (porta dos fundos) é um acesso oculto, previsto em um software ou instalado depois de uma invasão, que permite voltar a um…

C

• 

  Cabeçalhos de segurança HTTP

  Os cabeçalhos de segurança HTTP são instruções enviadas pelo servidor com cada página e aplicadas pelo navegador: impor HTTPS, proibir a exibição em um…

• 

  Certificado TLS

  Um certificado TLS é um arquivo eletrônico que associa um nome de domínio a uma chave pública, assinado por uma autoridade certificadora reconhecida pelos…

• 

  Clickjacking

  O clickjacking (sequestro de clique) consiste em exibir um site legítimo em um frame invisível, sobreposto a uma página armadilha: a vítima acha que…

• 

  Content Security Policy (CSP)

  A Content Security Policy (CSP) é um cabeçalho HTTP com o qual um site informa ao navegador de quais origens ele pode carregar scripts,…

• 

  Credential stuffing

  O credential stuffing (preenchimento de credenciais) é um ataque automatizado que testa em um site pares de login e senha roubados em vazamentos de…

• 

  CSRF

  O CSRF (cross-site request forgery, falsificação de solicitação entre sites) é um ataque que faz o navegador de um usuário logado enviar, sem que…

• 

  CVE

  Uma CVE (Common Vulnerabilities and Exposures) é um identificador público único, no formato CVE-2024-4577, atribuído a uma vulnerabilidade de software divulgada. Esse catálogo, patrocinado…

D

• 

  Desserialização insegura

  A desserialização insegura é uma falha que ocorre quando uma aplicação reconstrói objetos a partir de dados controlados por um atacante, por exemplo com…

E

• 

  Enumeração de usuários

  A enumeração de usuários é uma técnica de reconhecimento que consiste em montar a lista dos nomes de usuário válidos de um site explorando…

• 

  Escalonamento de privilégios

  O escalonamento de privilégios é um ataque que permite obter mais direitos do que os concedidos no início: um visitante vira administrador, um assinante…

• 

  Execução remota de código (RCE)

  A execução remota de código (RCE, Remote Code Execution) é uma falha que permite a um invasor fazer um servidor executar as instruções dele,…

F

• 

  Fingerprinting

  O fingerprinting, ou identificação por impressão digital, consiste em descobrir o software que roda um site, a versão e os componentes dele a partir…

H

• 

  Hash bcrypt

  O bcrypt é uma função de hash criada para armazenar senhas. Ela incorpora um salt aleatório e um fator de custo ajustável que torna…

• 

  Honeypot

  Um honeypot, ou pote de mel, é uma isca instalada de propósito para atrair invasores: servidor falso, endereço web inexistente ou campo de formulário…

• 

  HSTS

  HSTS (HTTP Strict Transport Security) é um cabeçalho HTTP que manda o navegador acessar um site somente por HTTPS durante um período definido. Depois…

I

• 

  IDOR

  Uma falha IDOR (Insecure Direct Object Reference) permite acessar os dados de outro usuário apenas trocando um identificador em uma requisição, como o número…

• 

  Inclusão de arquivos (LFI / RFI)

  A inclusão de arquivos é uma falha do PHP em que o invasor controla o caminho passado a include ou require. Na LFI (Local…

• 

  Injeção de SQL

  A injeção de SQL é um ataque que insere trechos de linguagem SQL em um dado enviado a um site, para desviar a consulta…

M

• 

  Malware

  Um malware (software malicioso) é um programa ou trecho de código introduzido em um sistema para prejudicar o dono ou os usuários: roubo de…

N

• 

  Nonce

  Um nonce é um valor, em princípio aleatório e de uso único, adicionado a uma troca de dados para impedir que ela seja reenviada…

P

• 

  Patch virtual

  Um patch virtual (ou correção virtual) é uma regra de filtragem que bloqueia a exploração de uma vulnerabilidade específica sem alterar o código do…

• 

  Phishing

  O phishing é uma técnica de golpe que imita a mensagem de uma empresa ou instituição de confiança (banco, hospedagem, órgão público, serviço online)…

• 

  Pontuação CVSS

  A pontuação CVSS (Common Vulnerability Scoring System) é uma nota de 0 a 10 que mede a gravidade técnica de uma vulnerabilidade, a partir…

R

• 

  Ransomware

  Um ransomware é um software malicioso que bloqueia o acesso a um sistema ou criptografa os seus dados e depois exige um resgate para…

S

• 

  Salt (sal criptográfico)

  O salt é um valor aleatório e único adicionado a cada senha antes do cálculo do hash. Assim, duas senhas idênticas geram hashes diferentes,…

• 

  SSRF

  Uma falha de SSRF (Server-Side Request Forgery, falsificação de requisição do lado do servidor) permite que um invasor faça o servidor enviar requisições para…

T

• 

  TLS / SSL

  TLS (Transport Layer Security) é o protocolo que criptografa a comunicação entre um navegador e um servidor, garante a sua integridade e autentica o…

V

• 

  Vulnerabilidade XSS

  Uma vulnerabilidade XSS (cross-site scripting) permite que um atacante faça o próprio JavaScript ser executado na página que outro visitante está vendo. O script…

• 

  Vulnerabilidade zero-day

  Uma vulnerabilidade zero-day (falha de “dia zero”) é uma falha de segurança explorada por invasores antes que o fabricante do software a corrija, e…

W

• 

  WAF (firewall de aplicação web)

  Um WAF (Web Application Firewall, firewall de aplicação web) é um filtro colocado na frente de uma aplicação web que inspeciona cada requisição HTTP…

X

• 

  XML-RPC

  O XML-RPC é um protocolo de chamada remota de funções por mensagens XML. No WordPress, o arquivo xmlrpc.php permite publicar a partir de um…