OWASP Top 10 Képzés

Bevezetés

• Áttekintés az OWASP-ról, céljairól és jelentőségéről a webbiztonságban
• Az OWASP Top 10 listájának magyarázata
  • A01:2021-Broken Access Control a ötödik helyről lépett előre; 94% az alkalmazásokból tesztelték valamely formában a megszakított hozzáférési ellenőrzést. A 34 Common Weakness Enumerations (CWEs) Broken Access Controlhoz rendelhető kategóriákban a legtöbb előfordulást mutatták alkalmazásokban az összes kategória közül.
  • A02:2021-Cryptographic Failures egy pozícióval előbbre lépett, korábban Sensitive Data Exposure (érzékeny adatkitétel) volt, ami inkább tünet volt, mint ok. Itt a hangsúly a kriptográfiai hibákra helyeződik, melyek gyakran vezettek érzékeny adatkitételhez vagy rendszerbelső támadáshoz.
  • A03:2021-Injection a harmadik helyre csúszott vissza. 94% az alkalmazásokból tesztelték valamely formában az injekciót, és a 33 CWEs, melyek beletartoznak ebben a kategóriában, a második legtöbb előfordulást mutatták alkalmazásokban. A keresztoldali script-kodolás (Cross-site Scripting) mostantól része ennek a kategóriának.
  • A04:2021-Insecure Design új kategória 2021-re, a hangsúly a tervező hibákkal kapcsolatos kockázatokon van. Ha igazán szeretnénk "balra mozdulni" az iparágban, szükség van a fenyegetésmodellezés, biztonságos tervezési minták és elvek, valamint referenciaarchitektúrák nagyobb használatára.
  • A05:2021-Security Misconfiguration a korábbi kiadás #6 helyéről lépett előre; 90% az alkalmazásokból tesztelték valamely formában a hibás konfigurációt. Minthogy egyre több áttérés történik a nagyon konfigurálható szoftverekre, nem meglepő, hogy ez a kategória előrébb lépett. Az XML külső entitások (XXE) korábbi kategóriája mostantól része ennek a kategóriának.
  • A06:2021-Vulnerable and Outdated Components korábban Using Components with Known Vulnerabilities (ismeretlen hibákkal rendelkező komponensek használata) címmel szerepelt, és #2 a Top 10 közösségi kutatásban, de elegendő adata volt a Top 10-nek a adatanalízis révén is. Ez a kategória a 2017-es 9. helyről lépett előre és ismert problémát jelöl meg, ami nehéz a tesztelésre és a kockázatok értékelésére. Ez az egyetlen kategória, aminek nincsenek Common Vulnerability and Exposures (CVEs) a belevett CWEs-hez rendelhetők, így egy alapértelmezett kihasználási és károsodási súly (5.0) számít bele a pontrendszerükbe.
  • A07:2021-Identification and Authentication Failures korábban Broken Authentication (megszakított hitelesítés) címmel szerepelt és a második helyről csúszott vissza, mostantól beletartoznak ide az azonosítási hibákhoz kapcsolódó CWEs. Ez a kategória továbbra is fontos része a Top 10-nek, de a standardizált keretrendszerek növekvő elérhetősége segíthet.
  • A08:2021-Software and Data Integrity Failures új kategória 2021-re, a hangsúly a szoftverfrissítések, kritikus adatok és CI/CD csatornák kapcsolódó feltételezésekre van, anélkül, hogy az integritásukat ellenőrzik. Egyike a legmagasabb súlyozású károsodási hatásoknak a Common Vulnerability and Exposures/Common Vulnerability Scoring System (CVE/CVSS) adatok alapján a 10 CWE-hez, melyeket ehhez a kategóriához rendelnek. Az Insecure Deserialization (biztonságtalan deserializáció) 2017-ből mostantól része ennek a nagyobb kategóriának.
  • A09:2021-Security Logging and Monitoring Failures korábban Insufficient Logging & Monitoring (elégtelen naplózás és monitorozás) címmel szerepelt és a #3 ipari felméréstől kerül be, a korábbi #10 helyről lépett előre. Ez a kategória bővítve van, hogy több típusú hibát is tartalmazzon, nehéz tesztelni és nem jól képviselődik a CVE/CVSS adatokban. Ez a kategória azonban közvetlen hatással van a láthatóságra, a incidensek figyelmeztetésére és a forenzikai vizsgálatra.
  • A10:2021-Server-Side Request Forgery a Top 10 közösségi kutatás (#1) alapján kerül be. Az adatok egy viszonylag alacsony előfordulási arányot mutatnak, de fenti átlagos tesztfedettséggel, valamint fenti átlagos értékelésekkel az Exploit és Impact potenciálra. Ez a kategória azt jelenti, hogy a biztonsági közösség tagjaink ezt fontosnak tartják, még akkor is, ha ez jelenleg nem mutatkozik az adatokban.

Broken Access Control

• Pratikus példák megszakított hozzáférési ellenőrzésekről
• Biztonságos hozzáférési ellenőrzések és legjobb gyakorlatok

Cryptographic Failures

• Detalizált elemzés a kriptográfiai hibákról, mint például gyenge titkosítási algoritmusok vagy helytelen kulcskezelés
• A erős kriptográfiai mechanizmusok, biztonságos protokollok (SSL/TLS) és a modern kriptográfia példái a webbiztonságban

Injection Attacks

• Detalizált leírás az SQL, NoSQL, OS és LDAP injekciókról
• Csökkentési technikák előkészített kijelentésekkel, paraméterezett lekérdezésekkel és inputok szökésével

Insecure Design

• A tervezési hibák elemzése, melyek hibákhoz vezethetnek, mint például hibás bemeneti validáció
• Stratégiák a biztonságos architektúra és biztonságos tervezési elvek számára

Security Misconfiguration

• Valós világbeli példák hibás konfigurációkra
• Lépések a hibás konfiguráció megelőzéséhez, beleértve a konfigurációs kezelést és automatikus eszközöket

Vulnerable and Outdated Components

• A hibás könyvtárak és keretrendszerek használatának kockázatainak azonosítása
• Legjobb gyakorlatok a függőségek kezeléséhez és frissítésekhez

Identification and Authentication Failures

• Gyakori hitelesítési problémák
• Biztonságos hitelesítési stratégiák, mint például többfaktoros hitelesítés és megfelelő munkamenetkezelés

Software and Data Integrity Failures

• A bizalmatlan szoftverfrissítések és adatmanipuláció problémáira való fókusz
• Biztonságos frissítési mechanizmusok és adatintegritás ellenőrzések

Security Logging and Monitoring Failures

• A biztonságos információk naplózása és a gyanús tevékenységek monitorozása fontossága
• Eszközök és gyakorlatok a megfelelő naplózáshoz és valós idejű monitorozáshoz a betörések korai felismeréséhez

Server-Side Request Forgery (SSRF)

• Az SSRF hibák kihasználásának magyarázata, hogyan férnek hozzáférő a támadók a belső rendszerekhez
• Csökkentési taktikák, beleértve a megfelelő bemeneti validációt és tűzfalbeállításokat

Best Practices and Secure Coding

• Átfogó megbeszélés a biztonságos programozás legjobb gyakorlatairól
• Eszközök hibafelderítéshez

Összegzés és Következő lépések