📚 Pré-requisitos Teóricos: este projeto aplica conceitos ensinados em Módulo 12: Desenvolvimento Seguro. Recomendado revisar antes de começar.

🛡️ Laboratório de Auditoria & Hardening OWASP Top 10

v1.0 — Segurança Defensiva, SQL Injection, XSS, CSRF e Headers HTTP

Trilha de Especialização Pedagógica — Projeto 1 de 4

• ➡️ v1 (este): OWASP Top 10 Defensivo · Anti-SQLi · Anti-XSS · Headers de Segurança
• v2: Criptografia AES-256-GCM, Hashing Argon2id & MFA TOTP
• v3: Pipeline DevSecOps com Análise SAST Semgrep & Trivy
• v4: Defesa Perimetral WAF, Rate Limiting & Rotação JWT

🎓 Nível Profissional Simulado: Engenheiro de Segurança / DevSecOps Júnior. Em segurança da informação, a responsabilidade não é só do time de infraestrutura. Um desenvolvedor seguro escreve código defensivo, valida todas as entradas de usuário, blinda o banco contra SQLi e configura cabeçalhos de proteção que barram ataques automatizados.

🎯 Objetivo & Escopo do Projeto

Construir um laboratório prático de Hardening e Segurança Defensiva mitigando as principais vulnerabilidades do OWASP Top 10, implementando consultas preparadas parametrizadas contra SQL Injection, sanitização rigorosa de inputs contra Cross-Site Scripting (XSS) e injeção de cabeçalhos de segurança HTTP modernos.

🧑‍💼 Fase 1 — Levantamento de Requisitos

O Briefing do Cliente (Chief Information Security Officer — CISO)

“Nosso relatório de Pentest apontou que nosso portal está vulnerável a SQL Injection na tela de login e que um hacker conseguiu injetar um script XSS que roubava cookies de sessão dos clientes. Precisamos de uma refatoração de segurança urgente: eliminar 100% das concatenações de strings em queries SQL, escapar qualquer saída HTML no frontend e configurar os cabeçalhos de proteção (CSP, HSTS, X-Frame-Options).”

Requisitos Funcionais (RF) e Não-Funcionais (RNF)

📋 Fase 2 — Backlog & User Stories

🌿 Fase 3 — Engenharia em Equipe (Git Flow & Setup)

# Branch da funcionalidade
git checkout -b feature/US01-owasp-hardening

# Executar a auditoria do modulo de seguranca
python src/security_core.py

🛠️ Fase 4 — Implementação Guiada (src/security_core.py)

class SecurityManager:
    @staticmethod
    def sanitizar_xss(texto_usuario: str) -> str:
        return html.escape(texto_usuario, quote=True)

    @staticmethod
    def buscar_usuario_seguro(conexao, username: str):
        cursor = conexao.cursor()
        query = "SELECT id, username, email FROM usuarios WHERE username = ?"
        cursor.execute(query, (username,))
        return cursor.fetchone()

🚀 Como Executar no Laboratório

1. Abra o terminal na pasta deste projeto

No seu editor/IDE, abra a pasta deste projeto (File > Open Folder) ou navegue via terminal:

cd seguranca_01_hardening_owasp

2. Execute a aplicação ou testes

docker-compose up -d
python audit_security.py

[!TIP] Dica para execução a partir da raiz do repositório: Se você abriu o repositório completo no VS Code, basta navegar até a pasta antes de executar: cd catalogo_projetos/seguranca_01_hardening_owasp`

🧭 Decisões de Arquitetura (ADRs)

• ADR 001: Adoção de Prepared Statements e CSP para defesa em profundidade na camada de aplicação.

🧪 Testes de Validação & Asserções de Pentest

# Tentativa de SQL Injection classico: ' OR '1'='1
payload_sqli = "' OR '1'='1"
# Com Prepared Statements, a query busca literalmente pela string e retorna None (Nao vaza dados!)

🏛️ Arquitetura Visual & Engenharia do Sistema

A visualização arquitetural abaixo detalha a separação de responsabilidades e o fluxo de dados implementado na subpasta sec-python/:

flowchart TD
    subgraph Entrada["Camada de Entrada & CLI"]
        IN1["Interface de Comando / API"] --> IN2["Parser & Sanitização"]
    end
    subgraph Dominio["Camada de Domínio & Regras"]
        DM1["Modelos de Domínio"] --> DM2["Processamento Algorítmico"]
    end
    subgraph Armazenamento["Persistência & Recursos"]
        ST1["Banco de Dados / Arquivo"] --> ST2["Transações ACID & Logs"]
    end
    subgraph Qualidade["Validação & Qualidade"]
        QA1["Testes Automatizados"] --> QA2["Checkpoints CP-01..05 PASS"]
    end

    Entrada --> Dominio
    Dominio --> Armazenamento
    Armazenamento --> Qualidade

    style Entrada fill:#e3f2fd,stroke:#1976d2,stroke-width:1.5px
    style Dominio fill:#fffde7,stroke:#fbc02d,stroke-width:1.5px
    style Armazenamento fill:#e8f5e9,stroke:#388e3c,stroke-width:1.5px
    style Qualidade fill:#f3e5f5,stroke:#7b1fa2,stroke-width:1.5px

🎯 Engenharia de Requisitos & Modelagem Formal

👤 User Stories (Histórias de Usuário)

⚙️ Requisitos Funcionais (RF)

🛡️ Requisitos Não-Funcionais (RNF)

🔗 Matriz de Rastreabilidade (RTM)

🏁 Checkpoints de Qualidade & Homologação