OWASP Top 10 - Plan Szkolenia

Wprowadzenie

• Przegląd OWASP, jego celu i znaczenia w bezpieczeństwie aplikacji webowych
• Wyjaśnienie listy OWASP Top 10
  • A01:2021-Broken Access Control wskoczył z piątego miejsca; 94% aplikacji zostało przetestowanych pod kątem jakiejś formy złamanych kontroli dostępu. 34 Wspólnych Numerów Słabych Miejsc (CWEs) przypisanych do Złamanych Kontroli Dostępu miały więcej wystąpień w aplikacjach niż jakakolwiek inna kategoria.
  • A02:2021-Cryptographic Failures przesuwa się o jedno miejsce wyżej na #2, wcześniej znane jako Sensitive Data Exposure, które było szerokim objawem zamiast przyczyny. Nowe skupienie poświęcone jest błędom związanym z kryptografią, które często prowadzą do wycieku danych wrażliwych lub kompromitacji systemu.
  • A03:2021-Injection spada na trzecie miejsce. 94% aplikacji zostało przetestowanych pod kątem jakiejś formy injekcji, a 33 CWEs przypisane do tej kategorii mają drugą najwyższą liczbę wystąpień w aplikacjach. Cross-site Scripting jest teraz częścią tej kategorii w tej edycji.
  • A04:2021-Insecure Design to nowa kategoria dla 2021 roku, skupiająca się na ryzykach związanych z błędami projektowymi. Jeśli naprawdę chcemy „przesunąć się w lewo” jako przemysł, wymaga to większego wykorzystania modelowania zagrożeń, bezpiecznych wzorców i zasad projektowania oraz architektur referencyjnych.
  • A05:2021-Security Misconfiguration przesuwa się z #6 w poprzedniej edycji; 90% aplikacji zostało przetestowanych pod kątem jakiejś formy błędnej konfiguracji. Z większą liczbą przejść do wysoko konfigurowalnego oprogramowania nie jest zaskakujące, że ta kategoria przesuwa się w górę. Poprzednia kategoria dla Zewnętrznych Entyt XML (XXE) jest teraz częścią tej kategorii.
  • A06:2021-Vulnerable and Outdated Components wcześniej nosiło tytuł Using Components with Known Vulnerabilities i jest #2 w ankiecie Top 10 społeczności, ale również miało wystarczająco dużo danych, aby dostać się do Top 10 za pomocą analizy danych. Ta kategoria przesuwa się z #9 w 2017 roku i jest znanym problemem, z którym mamy trudności w testowaniu i ocenie ryzyka. Jest to jedyna kategoria, która nie ma żadnych Wspólnych Zagrożeń i Wycieków (CVEs) przypisanych do włączonych CWEs, dlatego domyślna waga eksploatacji i wpływu 5.0 jest uwzględniana w ich wynikach.
  • A07:2021-Identification and Authentication Failures wcześniej nosiło tytuł Broken Authentication i spada z drugiego miejsca, a teraz zawiera CWEs związane bardziej z błędem identyfikacji. Ta kategoria wciąż jest ważną częścią Top 10, ale zwiększona dostępność zestandaryzowanych ram dla bezpieczeństwa wydaje się pomagać.
  • A08:2021-Software and Data Integrity Failures to nowa kategoria dla 2021 roku, skupiająca się na zakładaniu założenia dotyczących aktualizacji oprogramowania, krytycznych danych i CI/CD bez weryfikacji integralności. Jedno z najwyższych zważonych wpływów z danych Common Vulnerability and Exposures/Common Vulnerability Scoring System (CVE/CVSS) przypisanych do 10 CWEs w tej kategorii. Niebezpieczna Deserializacja z 2017 roku jest teraz częścią tej większej kategorii.
  • A09:2021-Security Logging and Monitoring Failures wcześniej nosiło tytuł Insufficient Logging & Monitoring i jest dodane z ankiety branżowej (#3), przesuwając się z #10 w poprzedniej edycji. Ta kategoria jest rozszerzona, aby zawierać więcej typów błędów, jest trudna do testowania i nie jest dobrze przedstawiona w danych CVE/CVSS. Jednak błędy w tej kategorii mogą bezpośrednio wpływać na widoczność, ostrzeganie o incydentach i śledztwa.
  • A10:2021-Server-Side Request Forgery jest dodane z ankiety Top 10 społeczności (#1). Dane pokazują stosunkowo niską częstość wystąpienia z powyższą średnią pokryciem testów, wraz z powyższą średnią oceną dla potencjału eksploatacji i wpływu. Ta kategoria reprezentuje scenariusz, w którym członkowie społeczności bezpieczeństwa mówią nam, że jest to ważne, choć nie jest to ilustrowane w danych w tym momencie.

Broken Access Control

• Przykłady praktyczne złamanych kontroli dostępu
• Bezpieczne kontrole dostępu i najlepsze praktyki

Cryptographic Failures

• Szczegółowa analiza błędu kryptograficznego, takich jak słabe algorytmy szyfrowania lub nieprawidłowe zarządzanie kluczami
• Znaczenie silnych mechanizmów kryptograficznych, bezpiecznych protokołów (SSL/TLS) oraz przykłady współczesnej kryptografii w bezpieczeństwie aplikacji webowych

Injection Attacks

• Szczegółowe omówienie SQL, NoSQL, OS i LDAP injekcji
• Techniki zmniejszania ryzyka przy użyciu przygotowanych poleceń, parametrowanych zapytań i escape'owania wejścia

Insecure Design

• Badanie błędów projektowych, które mogą prowadzić do podatności, takich jak nieprawidłowa walidacja wejścia
• Strategie dla bezpiecznej architektury i zasad bezpiecznego projektowania

Security Misconfiguration

• Przykłady rzeczywistych błędnych konfiguracji
• Krok po kroku, aby zapobiegać błędnym konfiguracjom, w tym zarządzanie konfiguracją i narzędzia automatyzacji

Vulnerable and Outdated Components

• Identyfikacja ryzyk związanych z używaniem podatnych bibliotek i ram
• Najlepsze praktyki zarządzania zależnościami i aktualizacjami

Identification and Authentication Failures

• Powszechne problemy z uwierzytelnianiem
• Bezpieczne strategie uwierzytelniania, takie jak wieloetapowe uwierzytelnianie i prawidłowe zarządzanie sesjami

Software and Data Integrity Failures

• Skupienie się na problemach, takich jak nieufne aktualizacje oprogramowania i manipulowanie danymi
• Bezpieczne mechanizmy aktualizacji i sprawdzanie integralności danych

Security Logging and Monitoring Failures

• Znaczenie rejestrowania informacji związanych z bezpieczeństwem i monitorowania podejrzanych działań
• Narzędzia i praktyki dla właściwego rejestrowania i monitorowania w czasie rzeczywistym w celu wykrywania naruszeń we wczesnym stadium

Server-Side Request Forgery (SSRF)

• Wyjaśnienie, jak atakujący wykorzystują podatności SSRF do dostępu do wewnętrznych systemów
• Taktiki zmniejszania ryzyka, w tym prawidłowa walidacja wejścia i konfiguracje zapory

Best Practices and Secure Coding

• Kompleksowa dyskusja na temat najlepszych praktyk w bezpiecznym kodowaniu
• Narzędzia do wykrywania podatności

Podsumowanie i kolejne kroki