OWASP Top 10 2025 - Plan Szkolenia

A01:2025 - Złamany kontrola dostępu
A02:2025 - Błędna konfiguracja bezpieczeństwa
A03:2025 - Awarie łańcucha dostaw oprogramowania
A04:2025 - Awarie kryptograficzne
A05:2025 - Iniekcje
A06:2025 - Niekorzystny projekt (Insecure Design)
A07:2025 - Awarie uwierzytelniania
A08:2025 - Awaryjne integralności oprogramowania lub danych
A09:2025 - Awarie logowania bezpieczeństwa i alertowania
A10:2025 - Nieprawidłowe obsłużenie warunków wyjątkowych

A01:2025 Złamana kontrola dostępu - Kontrola dostępu wymusza politykę, w ramach której użytkownicy nie mogą działać poza zakresem swoich upoważnionych uprawnień. Awarie tego typu najczęściej prowadzą do nieautoryzowanego ujawnienia, modyfikacji lub zniszczenia danych, lub do wykonywania funkcji biznesowych wykraczających poza uprawnienia użytkownika.

A02:2025 Błędna konfiguracja bezpieczeństwa - Błędna konfiguracja bezpieczeństwa występuje, gdy system, aplikacja lub usługa chmurowa jest błędnie skonfigurowana pod kątem bezpieczeństwa, co stwarza podatności.

A03:2025 Awaryjne łańcucha dostaw oprogramowania - Awaryjne łańcucha dostaw oprogramowania to zakłócenia lub inne kompromitacje w procesie budowania, dystrybucji lub aktualizacji oprogramowania. Często są one spowodowane podatnościami lub złośliwymi modyfikacjami w kodzie trzeciej strony, narzędziach lub innych zależnościach, od których zależy system.

A04:2025 Awaryjne kryptograficzne - Ogólnie rzecz biorąc, wszystkie dane w ruchu powinny być szyfrowane na warstwie transportowej (warstwa 4 modelu OSI). Poprzednie przeszkody, takie jak wydajność CPU i zarządzanie kluczami prywatnymi/certyfikatami, są obecnie obsługiwane przez procesory posiadające instrukcje przyspieszające szyfrowanie (np. wsparcie AES) oraz uproszczone zarządzanie kluczami prywatnymi i certyfikatami dzięki usługom takim jak LetsEncrypt.org, a duże dostawcy chmury oferują jeszcze ściślej zintegrowane usługi zarządzania certyfikatami dla swoich konkretnych platform. Oprócz zabezpieczenia warstwy transportowej, ważne jest określenie, które dane wymagają szyfrowania w spoczynku, a które wymagają dodatkowego szyfrowania w ruchu (na warstwie aplikacyjnej, warstwa 7 modelu OSI). Na przykład hasła, numery kart kredytowych, dane medyczne, informacje osobiste i sekrety biznesowe wymagają dodatkowej ochrony, zwłaszcza jeśli dane te podlegają przepisom o ochronie prywatności, np. Rozporządzeniu ogólnym o ochronie danych (RODO) UE, lub regulacjom takim jak standard bezpieczeństwa danych kart (PCI DSS).

A05:2025 Iniekcje - Podatność na iniekcje to wada systemowa, która pozwala napastnikowi wstawić złośliwy kod lub polecenia (takie jak kod SQL lub shell) do pól wejściowych programu, zmuszając system do wykonania tego kodu lub poleceń tak, jakby były częścią systemu. Może to prowadzić do niezwykle poważnych konsekwencji.

A06:2025 Niekorzystny projekt (Insecure Design) - Niekorzystny projekt to szeroka kategoria reprezentująca różne słabości, wyrażone jako „brakujące lub nieskuteczne projektowanie kontroli”. Niekorzystny projekt nie jest źródłem wszystkich pozostałych kategorii ryzyka Top 10. Należy zwrócić uwagę na różnicę między niekorzystnym projektem a niekorzystną implementacją. Różniczymy wady projektowe i wady implementacyjne, ponieważ mają one różne przyczyny, występują w różnych momentach procesu rozwoju i wymagają różnych działań naprawczych. Bezpieczny projekt może nadal zawierać wady implementacyjne prowadzące do podatności, które mogą zostać wykorzystane. Niekorzystny projekt nie może być naprawiony doskonałą implementacją, ponieważ wymagane kontrole bezpieczeństwa nigdy nie zostały utworzone w celu obrony przed konkretnymi atakami. Jednym z czynników przyczyniających się do niekorzystnego projektu jest brak profilowania ryzyka biznesowego inherentnego dla rozwijanego oprogramowania lub systemu, a tym samym niezdolność do określenia, jaki poziom bezpieczeństwa projektowego jest wymagany.

A07:2025 Awaryjne uwierzytelniania - Kiedy napastnik jest w stanie zmylić system tak, aby rozpoznał nieprawidłowego lub błędnego użytkownika jako legalnego, występuje ta podatność.

A08:2025 Awaryjne integralności oprogramowania lub danych - Awaryjne integralności oprogramowania i danych odnoszą się do kodu i infrastruktury, które nie chronią przed traktowaniem nieprawidłowego lub niezaufanego kodu lub danych jako zaufanych i ważnych. Przykładem jest sytuacja, w której aplikacja opiera się na wtyczkach, bibliotekach lub modułach z niezaufanych źródeł, repozytoriów i sieci dystrybucji treści (CDN). Niesekureny pipeline CI/CD, który nie konsumuje i nie dostarcza sprawdzian integralności oprogramowania, może wprowadzić potencjał nieautoryzowanego dostępu, niesekurego lub złośliwego kodu lub kompromitacji systemu. Innym przykładem jest pipeline CI/CD, który pobiera kod lub artefakty z niezaufanych miejsc i/lub nie weryfikuje ich przed użyciem (poprzez sprawdzenie podpisu lub podobny mechanizm).

A09:2025 Awaryjne logowania bezpieczeństwa i alertowania - Bez logowania i monitorowania ataki i naruszenia nie mogą zostać wykryte, a bez alertowania bardzo trudno jest reagować szybko i skutecznie podczas incydentu bezpieczeństwa. Niewystarczające logowanie, ciągłe monitorowanie, wykrywanie i alertowanie do inicjacji aktywnych odpowiedzi występuje w każdym przypadku

A10:2025 Nieprawidłowe obsłużenie warunków wyjątkowych - Nieprawidłowe obsłużenie warunków wyjątkowych w oprogramowaniu występuje, gdy programy nie są w stanie zapobiec, wykryć i zareagować na nietypowe i nieprzewidywalne sytuacje, co prowadzi do awarii, niespodziewanego zachowania, a czasem do podatności. Może to obejmować jedną lub więcej z następujących 3 braków: aplikacja nie zapobiega wystąpieniu nietypowej sytuacji, nie identyfikuje tej sytuacji, gdy się dzieje, i/lub reaguje na nią słabo lub wcale./p>

Dyskutujemy i prezentujemy praktyczne aspekty:/p>

Złamana kontrola dostępu
- Praktyczne przykłady złamanej kontroli dostępu
- Bezpieczna kontrola dostępu i najlepsze praktyki

Błędna konfiguracja bezpieczeństwa
- Przykłady z realnego świata błędnych konfiguracji
- Kroki zapobiegające błędnym konfiguracjom, w tym narzędzia zarządzania konfiguracją i automatyzacji

Awaryjne kryptograficzne
- Szczegółowa analiza awaryjnych kryptograficznych, takich jak słabe algorytmy szyfrowania lub niewłaściwe zarządzanie kluczami
- Znaczenie silnych mechanizmów kryptograficznych, bezpiecznych protokołów (SSL/TLS) i przykłady nowoczesnej kryptografii w bezpieczeństwie webowym

Ataki na iniekcje
- Szczegółowe rozbicie iniekcji SQL, NoSQL, OS i LDAP
- Techniki łagodzenia za pomocą zapytań zaplanowanych, zapytań parametryzowanych i escape'u wejść

Niekorzystny projekt (Insecure Design)
- Zbadamy wady projektowe, które mogą prowadzić do podatności, takie jak niewłaściwa walidacja wejścia
- Zbadamy strategie bezpiecznej architektury i zasady bezpiecznego projektowania

Awaryjne uwierzytelniania
- Częste problemy z uwierzytelnianiem
- Strategie bezpiecznego uwierzytelniania, takie jak uwierzytelnianie wieloskładnikowe i właściwe zarządzanie sesjami

Awaryjne integralności oprogramowania i danych
- Skupienie na problemach, takich jak niezaufane aktualizacje oprogramowania i manipulacja danymi
- Bezpieczne mechanizmy aktualizacji i sprawdzanie integralności danych

Awaryjne logowania bezpieczeństwa i monitorowania
- Znaczenie logowania informacji istotnych dla bezpieczeństwa i monitorowania podejrzanych aktywności
- Narzędzia i praktyki właściwego logowania i monitorowania w czasie rzeczywistym w celu wczesnego wykrywania naruszeń