Categoria
Segurança e WAF
Todas as ferramentas e artigos desta categoria, reunidos em um só lugar.
Ferramentas
Analisador de Cabeçalhos de Segurança
Cole uma resposta HTTP e veja uma análise com nota dos cabeçalhos de segurança, flags de cookies e política de origem cruzada, verificada contra OWASP, RFC 6797, CSP Level 3 e RFC 6265bis.
Analisador de entropia de User-Agent
Cole uma string de User-Agent e veja os tokens identificadores que ela expõe, os bits distintivos que cada um contribui e a migração para Client Hints.
ZscalerPing IdentityClassificador de URL para SSRF
Cole uma URL e veja para onde ela realmente aponta: loopback, uma faixa privada ou link-local, um endpoint de metadados de nuvem, CGNAT, espaço reservado ou a internet pública. Ofuscação de IP em decimal, octal e hexadecimal é decodificada, esquemas perigosos e credenciais embutidas são sinalizados, e um nível de risco de SSRF é exibido. Nunca resolve DNS e nunca envia a requisição.
Decodificador de fingerprint TLS JA4 / JA3
Decodifique um fingerprint JA4 de cliente TLS ou um JA3 em seus campos, calcule o JA4 com hash a partir dos valores brutos, ou calcule um MD5 de JA3. Detecta automaticamente qual você colar. Tudo no seu navegador.
ZscalerPing IdentityDecodificador de injeção OGNL
Cole uma carga OGNL encontrada num log de WAF ou de aplicação e leia o que ela pretendia fazer. Separa a fuga do sandbox da chamada de execução, nomeia a família de boletim compatível com o formato e sempre declara o que não determinou. Só decodifica - nunca avalia a carga e não guarda modelos.
Decodificador de vetor CVSS
Cole um vetor CVSS v3.1 ou v3.0 e veja a pontuação calculada e mapeada para uma severidade, com cada métrica explicada. Local e offline; nada é enviado a lugar nenhum.
Decodificador SAML
Cole uma resposta ou asserção SAML (bruta, base64 ou URL-encoded) e decodifique emissor, status, sujeito, condições, audiência e atributos, com verificação de assinatura e de algoritmos fracos. Protegido contra XXE.
Ping IdentityDecodificador XML
Cole XML e leia sua estrutura: a declaração, o DOCTYPE e quaisquer entidades, a árvore de elementos com namespaces e atributos, mais uma verificação de segurança da superfície de ataque XML. Nada é buscado ou resolvido.
Fingerprint TLS passivo JA3 / JA3N
Cole uma string JA3 e ela recomputa o hash JA3, computa o JA3N estável a permutação, decodifica os campos, e sinaliza valores GREASE.
ZscalerPing IdentityImpressão digital pela ordem de cabeçalhos HTTP
Cole um bloco de cabeçalhos de requisição e veja como a ordem e a caixa dos cabeçalhos identificam o cliente - o análogo em HTTP passivo do JA3.
ZscalerPing Identity
Artigos
Cabeçalhos de Segurança HTTP: a Camada de Defesa em Profundidade
O que são os cabeçalhos de segurança HTTP, por que formam uma camada de defesa sobre o código seguro em vez de substituí-lo, quais cabeçalhos têm mais peso e como ler a postura de uma resposta rapidamente.
LerQuantificadores e Classes de Caracteres em Regex
Uma expressão regular é construída a partir de duas perguntas: qual caractere eu quero e quantos deles? As classes de caracteres respondem à primeira, os quantificadores respondem à segunda. Acerte essas duas e a maior parte das regex se encaixa.
LerSAML 2.0: Como Funciona o SSO no Navegador
O que é uma asserção SAML, os papéis do provedor de identidade e do provedor de serviço, o fluxo de Web Browser SSO (login único, do inglês single sign-on) iniciado pelo SP de ponta a ponta, e a diferença entre os bindings HTTP-POST e HTTP-Redirect que transportam as mensagens.
LerContent Security Policy, Diretiva por Diretiva
Como a CSP funciona como controle contra cross-site scripting e injeção: a forma de uma política, por que default-src importa, o que 'unsafe-inline' e 'unsafe-eval' entregam, como nonces e hashes permitem código inline específico com segurança e para que serve o modo report-only.
LerDentro de uma Asserção SAML: Sujeito, Condições e Audiência
A anatomia de uma asserção SAML: o Subject e os formatos de NameID, a SubjectConfirmation do tipo bearer e as verificações de NotOnOrAfter / Recipient / InResponseTo, a janela de validade das Conditions, a AudienceRestriction e o AuthnStatement, com a validação que um provedor de serviço deve fazer em cada uma.
LerGrupos, Retrorreferências e Lookarounds em Regex
Os parênteses fazem muito mais do que definir precedência em uma regex. Eles capturam texto para você reutilizar, nomeiam as partes que importam e — com um prefixo de interrogação — permitem afirmar o que vem antes ou depois sem consumir.
LerAssinaturas SAML e XML-DSig
Como uma mensagem SAML é assinada com XML Signature: o ds:Signature envelopado, os algoritmos SignatureMethod e DigestMethod, por que o SHA-1 é fraco, a diferença entre assinar a Response e assinar a Assertion, e como funcionam os ataques de signature wrapping em XML.
LerBacktracking Catastrófico e ReDoS
Alguns padrões de aparência inocente podem levar segundos, minutos ou praticamente uma eternidade em uma string curta. A causa é o backtracking catastrófico, e quando um atacante controla a entrada ele vira uma falha de negação de serviço. Eis por que acontece e como escrever padrões que não podem travar.
LerHSTS e a Exigência de HTTPS
Como o Strict-Transport-Security fecha a janela de downgrade para HTTP, o que max-age, includeSubDomains e preload fazem, a brecha de confiança no primeiro uso que o preload remove e os erros de configuração que silenciosamente o desativam.
LerÂncoras e limites em regex
Âncoras casam uma posição, não um caractere: o início ou o fim da string, ou a borda de uma palavra. São a diferença entre um padrão que casa em qualquer lugar e um que casa só onde você quer. Este artigo cobre ^, $, \b e seu comportamento em modo multilinha, além dos erros que causam.
LerFlags de Segurança de Cookies
Como Secure, HttpOnly e SameSite protegem os cookies de sessão, o que cada valor de SameSite significa, por que SameSite=None exige Secure e como os prefixos __Host- e __Secure- impõem essas garantias no nível do navegador.
LerXXE e Por Que um Parser SAML Rejeita DOCTYPE
Como funcionam os ataques de Entidade Externa de XML (XXE), a negação de serviço billion laughs, por que ambos dependem de uma DTD, e por que um decodificador SAML reforçado rejeita qualquer DOCTYPE ou declaração de entidade de imediato em vez de tentar interpretá-lo com segurança.
LerBindings SAML e iniciação por SP vs IdP
Um fluxo SAML pode começar no serviço ou no provedor de identidade, e as mensagens podem viajar por dois bindings diferentes: um redirect HTTP com a mensagem compactada na URL, ou um formulário HTML de auto-submit que a envia por POST. Qual binding carrega qual mensagem, e onde o fluxo começa, explica muito do comportamento do SSO.
LerClickjacking e Controle de Enquadramento
O que é clickjacking, como o enquadramento o torna possível, a diferença entre o cabeçalho legado X-Frame-Options e a diretiva moderna CSP frame-ancestors, por que ALLOW-FROM é obsoleto e como os dois controles interagem.
LerFlags e modos em regex
Uma flag muda como o padrão inteiro casa: sensibilidade a maiúsculas, se ^ e $ enxergam linhas, se o ponto cruza quebras de linha e se o espaço em branco no padrão é ignorado. O mesmo regex pode casar coisas completamente diferentes dependendo de suas flags, então conhecê-las evita muita confusão.
LerO SAML Proxy: Inserindo uma Camada de Identidade numa Sessão
Um SAML proxy fica no fluxo de SSO em vez do caminho dos pacotes: ele termina a requisição do usuário, força a autenticação contra um provedor de identidade, e só então deixa a sessão passar, usando o modelo de redirecionamento por navegador do SAML. Ele pode agir como provedor de serviço para o IdP e provedor de identidade para a aplicação ao mesmo tempo (um proxy ou broker), que é como um único login federa muitos sistemas downstream. Este artigo explica os papéis, o fluxo, e por que ele é um proxy afinal.
LerLendo OGNL num log de WAF: o que a carga pretendia fazer
Uma carga OGNL num log tem duas metades que vale distinguir: algo que tenta desligar o sandbox de expressões e algo que tenta executar um comando. Com as duas, é tentativa de exploração. Só com a segunda, normalmente é um scanner percorrendo uma lista. Sem nenhuma das duas, é sondagem verificando se a entrada é avaliada - e essa resposta decide se qualquer outra coisa da lista teria chance.
LerXXE e entidades externas
XML permite que um documento declare entidades, e uma entidade externa pode apontar para um arquivo ou URL. Um parser que resolve uma pode ser enganado a ler arquivos locais ou fazer requisições no lado do servidor, a vulnerabilidade XXE. A correção é direta e eficaz: não processar um DOCTYPE de forma alguma.
LerBillion laughs e expansão de entidades
Entidades podem referenciar outras entidades, e se cada uma multiplica a anterior, um documento minúsculo pode expandir para gigabytes e exaurir a memória. O ataque billion laughs transforma isso em uma negação de serviço. A defesa é limitar a expansão ou recusar o DOCTYPE de imediato.
LerComo Funciona a Pontuação CVSS
O CVSS transforma uma string de vetor curta em um número de severidade de 0 a 10 usando uma fórmula fixa. A pontuação Base é construída a partir de duas subpontuações: Explorabilidade (quão acessível e fácil é a falha) e Impacto (quão grave é o resultado). Todo o resto refina essa base. Isso é aritmética, não opinião, e por isso uma calculadora reproduz exatamente qualquer pontuação publicada.
LerAs Métricas Base do CVSS, Explicadas
A pontuação Base vem de oito métricas em duas famílias. Quatro métricas de explorabilidade (Vetor de Ataque, Complexidade do Ataque, Privilégios Necessários, Interação do Usuário) descrevem quão difícil é o ataque, e quatro métricas de impacto (Escopo, mais Confidencialidade, Integridade e Disponibilidade) descrevem o dano. O Escopo é a sutil: é o que permite que uma pontuação ultrapasse a fronteira do próprio componente vulnerável.
LerPontuações Temporal e Ambiental do CVSS
A pontuação Base é apenas o ponto de partida. As métricas Temporais a reduzem conforme os fatos surgem, como o lançamento de um patch, e só podem diminuir a pontuação. As métricas Ambientais permitem que uma organização recalcule a falha para seus próprios sistemas, elevando ou reduzindo a importância de confidencialidade, integridade e disponibilidade e sobrescrevendo métricas base. Ambas são opcionais, mas produzem um número mais honesto.
LerLendo uma String de Vetor CVSS
Um vetor CVSS é uma string compacta e autodescritiva: um prefixo de versão seguido de pares métrica:valor separados por barras. Aprender a lê-la diretamente, em vez de confiar em uma pontuação renderizada, permite detectar erros de transcrição e entender exatamente o que um fornecedor afirmou. As métricas Base são obrigatórias e o resto é opcional.
LerFaixas de Severidade do CVSS, e o Que a Pontuação Não Diz
O número de 0 a 10 é mapeado para cinco faixas qualitativas, de Nenhuma a Crítica. Esse mapeamento é útil para triagem, mas uma pontuação Base do CVSS mede severidade, não risco. Ela não diz nada sobre uma falha estar sendo explorada, quão valioso é o ativo, ou quais controles você tem. Tratar o número base como uma fila de prioridade é a forma mais comum de as equipes usarem mal o CVSS.
LerCVSS v3.0, v3.1 e v4.0: O Que Mudou
Este decodificador calcula CVSS v3.0 e v3.1. As duas versões v3 compartilham uma fórmula mas diferem no arredondamento e em um termo ambiental, então as pontuações podem diferir em um décimo. O CVSS v4.0, lançado em 2023, é um redesenho maior, com novos grupos de métricas e sem a métrica Escopo, e seus vetores não são compatíveis com ferramentas v3. O CVSS v2 está descontinuado.
LerFingerprinting TLS Passivo: JA3, GREASE, e o Churn que Levou ao JA4
Um ClientHello anuncia o cliente às claras, e a combinação de versões, ciphers, e extensões é característica do software que o enviou. Isto cobre como o JA3 transforma isso em um hash, por que o GREASE precisa ser removido, como a randomização da ordem das extensões quebrou o JA3 (o churn), como o JA3N e o JA4 restauram a estabilidade, e onde um fingerprint TLS se encaixa como sinal para secure web gateways e autenticação adaptativa.
LerO Que É Server-Side Request Forgery (SSRF)
SSRF é uma vulnerabilidade em que um atacante faz o servidor emitir uma requisição HTTP para um destino escolhido por ele. Como a requisição parte de dentro da rede do servidor, ela alcança serviços internos, metadados de nuvem e endereços de loopback que o atacante jamais alcançaria diretamente. A correção é validar o destino, não o texto da URL.
LerFaixas de IP Privadas, Reservadas e Públicas
Um filtro de SSRF precisa saber quais endereços são internos. Este é o mapa: espaço privado RFC 1918, loopback, link-local, NAT de operadora, as faixas de documentação e todo o resto que é público e roteável. Conhecer as faixas é o que transforma um endereço bruto em uma decisão de seguro-ou-não.
LerTruques de Ofuscação de Endereço IP
Um endereço IP pode ser escrito de muitas formas: decimal simples, octal, hexadecimal, forma abreviada e IPv6 mapeado em IPv4. Cada forma volta a apontar para o mesmo endereço, e é assim que atacantes passam um alvo interno por um filtro que só bloqueia a grafia decimal pontuada. Por isso verificações de SSRF precisam decodificar, não comparar texto.
LerEndpoints de Metadados de Nuvem e SSRF
Toda nuvem grande dá a uma instância um serviço de metadados em um endereço link-local fixo, e ele pode devolver credenciais temporárias do papel da instância. Isso o torna o alvo de SSRF de maior valor. Conhecer os endpoints, e as defesas no estilo IMDSv2, é essencial tanto para entender o ataque quanto para a defesa.
LerDefendendo-se de SSRF com Allow-Lists
A defesa durável contra SSRF é uma allow-list de destinos pretendidos, combinada com resolver o endereço antes de confiar nele e reverificar após redirecionamentos. Block-lists de faixas internas ajudam, mas perdem para ofuscação e DNS rebinding. Esta é a abordagem em camadas que se sustenta.
LerEsquemas de URL Perigosos em SSRF
SSRF não se limita a http. Esquemas como file, gopher, dict e ftp permitem a um atacante ler arquivos locais ou forjar bytes brutos para serviços internos como Redis e SMTP. Um buscador de URL que não restringe o esquema entrega ao atacante uma primitiva muito mais poderosa do que uma simples requisição web.
LerSSL Forward Proxy: Como Funciona a Interceptação de TLS de Saída e o Que a Quebra
Para inspecionar tráfego de saída criptografado, um forward proxy realiza um man-in-the-middle controlado: ele termina a sessão TLS do usuário, abre a sua própria para o servidor real, e forja um certificado para aquele servidor assinado por uma CA privada em que os próprios dispositivos da organização confiam. Este artigo explica a mecânica, o modelo de confiança que o torna seguro (e perigoso), e por que pinning, HSTS e TLS mútuo o derrotam.
LerA LGPD para engenheiros: o vocabulário que importa
A lei brasileira de proteção de dados atribui um papel a você, oferece dez bases legais em vez de uma e coloca um relógio de três dias úteis na comunicação de incidentes. O que controlador, operador e encarregado significam quando é você quem opera os sistemas.
LerFingerprinting passivo: o que você emite sem que perguntem
Toda conexão anuncia sua pilha antes de um byte de dados de aplicação fluir. Como um SYN TCP, uma string de User-Agent e a mera ordem dos cabeçalhos HTTP identificam um cliente - e por que a contradição entre eles é o indício clássico de proxy e bot.
LerArquitetura de três camadas da Check Point: gerência, gateway e SmartConsole
A Check Point separa o lugar onde a política é escrita do lugar onde ela é aplicada, e essa divisão explica quase todo o resto da plataforma: por que se instala a política em vez de apenas salvá-la, por que o SIC existe, e por que um gateway continua funcionando com o servidor de gerência fora do ar.
LerAdministradores, sessões e objetos na Check Point: publicar não é instalar
A Check Point dá a cada administrador uma sessão de trabalho privada, então suas mudanças ficam invisíveis para os colegas até você publicar, e inertes no gateway até você instalar. São duas ações separadas e confundi-las é o erro inicial mais comum na plataforma.
LerRegistro e monitoramento na Check Point: para onde vão os logs e como fazer perguntas a eles
Um log só existe se uma regra foi configurada para criá-lo, e só sobrevive se havia um servidor de logs para recebê-lo. Uma vez que os dois sejam verdade, a visão Logs and Monitor é uma interface de consulta, e não uma lista, e aprender a fazer perguntas a ela é a diferença entre achar uma resposta em segundos e rolar a tela.
LerIdentity Awareness na Check Point: escrever regras sobre pessoas em vez de endereços
O Identity Awareness permite que uma regra diga quem, e não onde. O gateway precisa aprender o mapeamento usuário-endereço de algum lugar, e a fonte escolhida decide com que rapidez as identidades aparecem, quão precisas permanecem, e o que acontece quando alguém troca de mesa.
LerHTTPS Inspection, Application Control e URL Filtering na Check Point
A maior parte do tráfego é criptografada, então os controles que decidem quais aplicações e sites são permitidos só conseguem ver o que o handshake revela, salvo se o gateway descriptografar. O HTTPS Inspection é o que faz o resto funcionar por completo, e é também o recurso com maior probabilidade de quebrar algo no dia em que você o habilita.
LerPrevenção de ameaças na Check Point: os blades, os perfis, e prevenir contra detectar
A prevenção de ameaças são vários motores sob uma política, cada um pegando uma etapa diferente de um ataque. A configuração que mais importa não é quais motores estão ligados, e sim se cada um está prevenindo ou apenas detectando, porque essa única escolha decide se você tem proteção ou um relatório.
LerAlta disponibilidade de gerência na Check Point: ativo, standby, e por que o failover é manual
Um segundo servidor de gerência protege o banco de dados, e não o tráfego. Os gateways continuam aplicando a política aconteça o que acontecer com a gerência, então o que você está comprando é a capacidade de continuar mudando a política — e o estado de sincronização é o que diz se você de fato a tem.
LerVPN site a site na Check Point: comunidades, domínios de criptografia, e por que o túnel está vazio
Uma VPN Check Point é construída a partir de comunidades, e não de definições individuais de túnel, e é isso que torna muitos sites administráveis. A falha recorrente não é o túnel não estabelecer, e sim ele estabelecer e não carregar nada, e isso quase sempre remete ao domínio de criptografia ou ao NAT.
LerSmartEvent e o Compliance Blade na Check Point: transformar logs em eventos que valem ser lidos
O SmartEvent correlaciona logs em eventos para que cem entradas relacionadas virem uma coisa sobre a qual uma pessoa age. O Compliance Blade audita a própria configuração contra boas práticas. Os dois só são úteis na medida do ajuste, e um SmartEvent sem ajuste é um segundo lugar para ignorar alertas.
LerAtualizações e migrações na Check Point: ordem, compatibilidade, e tirar o banco de dados de lá
A ordem de atualização não é preferência: a gerência vem primeiro, porque um servidor de gerência consegue gerenciar gateways mais antigos e um servidor mais antigo não consegue gerenciar gateways mais novos. Migração é operação diferente de atualização, e o que se move é o banco de dados, e não a máquina.
LerElasticXL na Check Point: um objeto de cluster, muitos membros
O ElasticXL é a abordagem mais recente de cluster da Check Point, construída para que um cluster seja configurado e gerenciado como uma entidade única, e não como membros que cada um exige atenção. O argumento operacional é que acrescentar capacidade não deveria significar repetir configuração.
LerComo um Proxy Sabe Quem Você É: Métodos de Autenticação de Usuário Inline
Política por usuário é a promessa inteira de um proxy inline - o que significa que o proxy precisa prender uma identidade a cada fluxo, inclusive aos que não conseguem fazer login. Os quatro padrões que funcionam: desafios explícitos 407, autenticação web por cookie, identidade afirmada por agente, e o compromisso do surrogate IP - mais onde cada um quebra, porque todos eles quebram em algum lugar.
LerData Loss Prevention: Como Máquinas Reconhecem Segredos
Todo produto de DLP responde à mesma pergunta - este conteúdo de saída é sensível? - com os mesmos quatro instrumentos: padrões, dicionários, correspondência exata contra registros com fingerprint e correspondência de documentos indexados. O que cada instrumento consegue e não consegue reconhecer, por que existem confiança e proximidade, e por que a parte difícil do DLP nunca foi a correspondência.
LerDetonação em Sandbox: Julgando um Arquivo pelo Que Ele Faz
Assinaturas reconhecem malware que já foi visto; um sandbox condena malware que não foi - executando o arquivo numa jaula instrumentada e observando seu comportamento. O que a detonação realmente observa, por que vereditos levam minutos, a janela de paciente-zero que o tempo cria, como o compartilhamento de hashes transforma um veredito na proteção de todos, e a corrida armamentista de evasão que mantém os construtores de jaulas empregados.
LerIsolamento de Navegador: Quando Não Dá para Confiar na Página, Mova o Navegador
O Remote Browser Isolation para de perguntar se uma página é segura e remove a pergunta: o navegador real roda num contêiner descartável na nuvem, e o endpoint recebe apenas uma projeção renderizada - pixels ou um DOM reconstruído. O que cada modo de renderização troca, por que isolamento é a resposta para o meio incategorizável, o que custa, e onde ficam seus limites honestos.
LerCORS Explicado: O Controle de Fronteira do Navegador
CORS é a mensagem de erro mais mal-entendida do desenvolvimento web, porque pune o modelo mental errado. Ele não é o muro - a same-origin policy é o muro; CORS é a porta: um protocolo de cabeçalhos pelo qual um servidor se oferece: 'aquela outra origem pode ler minhas respostas'. Requisições simples vs preflights, o que o OPTIONS está fazendo na sua aba de rede, por que credenciais apertam cada regra, por que '*' não é o conserto, e por que o CORS nunca protegeu o servidor, para começo de conversa.
LerFiltros de busca LDAP: lendo os parênteses
Toda consulta a diretório - PingDirectory, Active Directory, qualquer servidor LDAP - se resume a uma string de filtro em notação prefixada. Como lê-la: os operadores, os seis tipos de correspondência, os escapes, os famosos OIDs de bit-filter do AD, e por que um filtro sem índice pode derrubar um diretório.
LerFluxos OAuth: escolhendo o grant em 2026
Uma decisão inicia toda integração: qual fluxo. A resposta moderna é curta - authorization code + PKCE para humanos, client credentials para máquinas, device grant para TVs - e as razões pelas quais implicit e ROPC morreram valem saber de cor. A RFC 9700 finalmente escreveu tudo isso.
LerSegurança de memória: as classes de bug e as defesas que respondem a elas
Estouro de buffer, use-after-free, desreferência de ponteiro nulo, estouro de inteiro - quatro nomes para duas falhas, ficar dentro de um objeto e só tocá-lo enquanto está vivo. Como cada uma funciona, por que cerca de setenta por cento das vulnerabilidades sérias em grandes bases de código C e C++ pertencem a esta família, e o que cada camada defensiva de fato compra.
LerTor: como o roteamento em cebola realmente funciona, e o que ele não protege
O roteamento em cebola foi inventado num laboratório da Marinha dos EUA, e esse paradoxo é a chave para entendê-lo: anonimato só funciona se a multidão for diversa. Como um circuito de três saltos é construído, o que são de fato os serviços onion, o modelo de ameaças que o Tor admite abertamente perder, e por que a maior parte do tráfego Tor nunca toca a dark web.
LerListas de bloqueio DNS: RPZ, classificação e o custo de uma resposta recusada
Bloquear um domínio no resolvedor é o controle de segurança mais barato que existe, e por isso todo fabricante vende um. Como funcionam os feeds RPZ, o que uma classificação de DNS de fabricante realmente classifica, os dois modos de falha que ninguém prevê, e por que o bloqueio que não se vê é pior que o visível.
Ler