OWASP Top 10 2025 Képzés

A01:2025 - Hiba a hozzáférés-kezelésben (Broken Access Control)
A02:2025 - Biztonsági miszkonfiguráció
A03:2025 - Szoftverellátási lánc hibái
A04:2025 - Kriptográfiai kudarcok
A05:2025 - Bejuttatás (Injection)
A06:2025 - Nem biztonságos tervezés
A07:2025 - Hitelesítési hibák
A08:2025 - Szoftver- vagy adatintegritási hibák
A09:2025 - Biztonsági naplózás és riasztás hiánya
A10:2025 - Különleges állapotok rosszul kezelt kezelése

A01:2025 Hiba a hozzáférés-kezelésben - A hozzáférés-kezelés a szabályok érvényesítését jelenti, így a felhasználók nem léphetik túl a rájuk bizott jogosultságok keretein. A hiba általában jogosulatlan információk feltárásához, bármilyen adat módosításához vagy törléséhez, vagy üzleti funkciók végrehajtásához vezethet a felhasználói korlátok túllépésével.

A02:2025 Biztonsági miszkonfiguráció - A biztonsági miszkonfiguráció akkor fordul elő, amikor egy rendszert, alkalmazást vagy felhőszolgáltatást biztonsági szempontból nem megfelelően állítanak be, ami sebezhetőségeket eredményez.

A03:2025 Szoftverellátási lánc hibái - A szoftverellátási lánc hibái a szoftverek építésének, terjesztésének vagy frissítésének folyamatában jelentkező meghibásodások vagy más kompromittálások. Ezeket gyakran a rendszertől függő harmadik féltől származó kódban, eszközökben vagy egyéb függőségekben felfedezett sebezhetőségek vagy rosszindulatú változtatások okozzák.

A04:2025 Kriptográfiai kudarcok - Általánosságban elmondható, hogy minden átvitt adatot a továbbítási rétegen (OSI 4. réteg) titkosítani kell. A korábbi akadályok, mint például a CPU teljesítmény és a privát kulcsok/tanúsítványok kezelése, ma már megoldottak: a processzorok olyan utasításokkal rendelkeznek, amelyek gyorsítják a titkosítást (pl. AES támogatás), valamint a privát kulcsok és tanúsítványok kezelése egyszerűsödött olyan szolgáltatásokkal, mint a LetsEncrypt.org, miközben a nagy felhőszolgáltatók még szorosan integráltabb tanúsítványkezelési szolgáltatásokat nyújtanak a saját platformjaikhoz. A továbbítási réteg biztonságának biztosítása mellett fontos meghatározni, mely adatokat kell nyugalomban is titkosítani, illetve mely adatokat szükséges extra titkosítással ellátni az alkalmazási rétegben (OSI 7. réteg). Például a jelszavak, a bankkártyaszámok, az egészségügyi nyilvántartások, a személyes adatok és az üzleti titkok további védelmet igényelnek, különösen akkor, ha az adatok adatvédelmi törvények, például az EU Általános Adatvédelmi Rendelete (GDPR), vagy szabályozások, mint a PCI Adatbiztonsági Standard (PCI DSS) hatálya alá esnek.

A05:2025 Bejuttatás - A bejuttatási sebezhetőség egy rendszerszintű hiba, amely lehetővé teszi a támadó számára, hogy rosszindulatú kódot vagy utasításokat (például SQL vagy shell kódot) juttasson a program bemeneti mezőibe, megtévesztve a rendszert, mintha ezek a kód vagy utasítások a rendszer része lennének. Ez súlyos következményekhez vezethet.

A06:2025 Nem biztonságos tervezés - A nem biztonságos tervezés egy tágabb kategória, amely különböző gyengeségeket takar, „hiányzó vagy hatástalan vezérlési tervezés” kifejezéssel jellemzve. A nem biztonságos tervezés nem minden más Top Tíz kockázati kategória forrása. Fontos megkülönböztetni a nem biztonságos tervezést és a nem biztonságos implementációt. Megkülönböztetjük a tervezési hibákat és az implementációs hiányosságokat, mivel eltérő gyökérokaik vannak, eltérő időpontokban jelentkeznek a fejlesztési folyamatban, és eltérő megoldásokat igényelnek. Egy biztonságos tervezésben is előfordulhatnak implementációs hiányosságok, amelyek kihasználható sebezhetőségeket eredményeznek. Egy nem biztonságos tervezést nem lehet tökéletes implementációval javítani, mivel a bizonyos támadások elleni védelemhez szükséges biztonsági vezérlőket sosem hozták létre. A nem biztonságos tervezés egyik tényezője az is, hogy hiányzik a fejlesztett szoftverben vagy rendszerben rejlő üzleti kockázatok profilozása, így nem határozható meg, milyen szintű biztonsági tervezés szükséges.

A07:2025 Hitelesítési hibák - Amikor a támadó képes megtéveszteni a rendszert, hogy egy érvénytelen vagy hibás felhasználót jognak ismerjen el, ez a sebezhetőség áll fenn.

A08:2025 Szoftver- vagy adatintegritási hibák - A szoftver- és adatintegritási hibák a kóddal és infrastruktúrával kapcsolatos problémák, amelyek nem védik meg az érvénytelen vagy nem megbízható kódot vagy adatot a megbízhatónak és érvényesnek való kezelés ellen. Ennek egy példája, amikor egy alkalmazás nem megbízható forrásokból, repositorykből vagy tartalomszolgáltató hálózatokból (CDN) származó pluginokra, könyvtárakra vagy modulokra támaszkodik. Egy biztonságos CI/CD pipeline, amely nem fogyaszt és nem biztosít szoftverintegritási ellenőrzéseket, jogosulatlan hozzáférést, nem biztonságos vagy rosszindulatú kódot, vagy rendszerkompromittálást eredményezhet. Egy másik példa erre a CI/CD, amely kódot vagy artefaktumokat nem megbízható helyekről húz, és/vagy nem ellenőrzi őket használata előtt (például aláírás ellenőrzésével vagy hasonló mechanizmussal).

A09:2025 Biztonsági naplózás és riasztás hiánya - Naplózás és figyelés nélkül a támadások és a behatolások nem detektálhatók, és riasztás nélkül nagyon nehéz gyorsan és hatékonyan reagálni egy biztonsági incidens során. A naplózás, a folyamatos figyelem, a detektálás és a riasztás hiánya, ami szükséges az aktív reakciók elindításához, bármikor bekövetkezhet

A10:2025 Különleges állapotok rosszul kezelt kezelése - A szoftverek különleges állapotainak rosszul kezelt kezelése akkor történik, amikor a programok nem tudják megakadályozni, felismerni és kezelni a szokatlan és előre nem látható helyzeteket, ami lefagyásokhoz, váratlan viselkedéshez, és néha sebezhetőségekhez vezet. Ez magában foglalhatja az alábbi három hiba bármelyikét vagy együttes megjelenését: az alkalmazás nem akadályozza meg a szokatlan helyzet bekövetkezését, nem azonosítja a helyzetet annak bekövetkezése közben, és/vagy rosszul vagy egyáltalán nem reagál rá az esemény után.

Megvitatjuk és bemutatjuk a gyakorlati szempontokat:

Hiba a hozzáférés-kezelésben
- A hozzáférés-kezelés hibáinak gyakorlati példái
- Biztonságos hozzáférés-kezelés és legjobb gyakorlatok

Biztonsági miszkonfiguráció
- Való világi miszkonfigurációs példák
- Lépések a miszkonfiguráció megakadályozásához, beleértve a konfigurációs menedzsmentet és az automatizálási eszközöket

Kriptográfiai kudarcok
- A kriptográfiai kudarcok részletes elemzése, például gyenge titkosítási algoritmusok vagy nem megfelelő kulcskezelés
- Erős kriptográfiai mechanizmusok, biztonságos protokollok (SSL/TLS) jelentősége, és a modern kriptográfia példái a webbiztonságban

Bejuttatási támadások
- SQL, NoSQL, OS és LDAP bejuttatás részletes bontása
- Enyhítési technikák előkészített nyilatkozatokkal, paraméterezett lekérdezésekkel és bemenetek escape-elésével

Nem biztonságos tervezés
- Megvizsgáljuk a tervezési hibákat, amelyek sebezhetőségekhez vezethetnek, például nem megfelelő bemenetellenőrzés
- Tanulmányozzuk a biztonságos architektúra és a biztonságos tervezési elvek stratégiáit

Hitelesítési hibák
- Gyakorlati hitelesítési problémák
- Biztonságos hitelesítési stratégiák, mint a többfaktoros hitelesítés és a megfelelő munkamenet-kezelés

Szoftver- és adatintegritási hibák
- Fókusz a nem megbízható szoftverfrissítések és az adatmanipuláció problémáin
- Biztonságos frissítési mechanizmusok és adatintegritási ellenőrzések

Biztonsági naplózás és figyelés hiánya
- A biztonsági szempontból releváns információk naplózásának és a gyanús tevékenységek figyelésének fontossága
- Eszközök és gyakorlatok a megfelelő naplózásra és a valós idejű figyelésre, hogy korán detektálják a behatolásokat