OWASP Top 10 Oversigt
OWASP Top 10 er en globalt anerkendt standard til forståelse og håndtering af de mest kritiske sikkerhedsrisici for webapplikationer. OWASP Top 10 er udviklet af Open Web Application Security Project (OWASP), en community-drevet organisation med fokus på at forbedre softwaresikkerhed, og den giver en prioriteret liste over de mest udbredte og betydningsfulde sårbarheder, der findes i webapplikationer.
I dette blogindlæg vil vi udforske hver af OWASP Top 10-kategorierne i detaljer, undersøge de underliggende årsager, potentielle konsekvenser og anbefalede strategier til forebyggelse og afbødning. Ved at få indsigt i disse grundlæggende sikkerhedsrisici vil læserne være bedre rustet til at forbedre deres webapplikationers modstandsdygtighed og minimere sandsynligheden for sikkerhedsbrud og datakompromitteringer.
Hvad betyder OWASP
OWASP, også kendt som Åbn webapplikationssikkerhedsprojekt, står som en nonprofitorganisation dedikeret til at forbedre software sikkerhedBlandt deres bestræbelser er adskillige initiativer til udvikling af open source-software, værktøjssæt, lokale afdelinger og konferencer. De fører især tilsyn med OWASP Top 10, en samling af de mest udbredte sikkerhedsrisici står over for webapplikationerVed at prioritere disse risici under kodeudvikling og grundig testning kan udviklere skabe applikationer, der beskytter brugernes følsomme data mod ondsindede aktører.
Det er afgørende at sikre overholdelse af OWASP-standarder for at garantere sikkerhed af kodeUndersøgelser af softwaresikkerhedstendenser i 2023 viste, at næsten 70 % af de undersøgte applikationer ud af i alt en million udviste sikkerhedsstandarder. sårbarheder, der falder inden for OWASP Top 10.
Det er bydende nødvendigt for virksomheder at implementere denne ramme og iværksætte foranstaltninger til at afbøde disse risici i deres webapplikationer. At omfavne OWASP Top 10 er et afgørende første skridt i retning af at fremme en kultur med sikker softwareudvikling i enhver organisation.
RELIANOID skiller sig ud på ADC-markedet ved at være en af de få løsninger, der leverer de mest intuitive grafiske integrationer af modsecurity.
Sådan er OWASP Top 10 sammensat
Dataindsamlings- og analyseprocesserne for OWASP Top 10 blev formaliseret under Åbent sikkerhedstopmøde i 2017Dette involverede et samarbejde mellem OWASP Top 10-ledere og samfund, hvilket resulterede i etableringen af en transparent dataindsamlingsprotokol. Metoden, der blev introduceret i 2021, markerer den anden implementering af denne standardiserede tilgang.
For at indsamle data sender de opkald via forskellige sociale mediekanaler, der er tilgængelige for både projektmedlemmer og OWASP-fællesskabet. Detaljerede instruktioner og skabeloner findes på henholdsvis OWASP-projektsiden og GitHub-arkivet. De samarbejder med organisationer, der specialiserer sig i test, bug bounty-programmer og dem, der bidrager med interne testdata. Efter indsamling konsolideres dataene og underkastes en omfattende analyse for at identificere almindelige sårbarheder og eksponeringer (CWE'er) og deres tilsvarende risikokategorier.
De prioriterer de otte kategorier med de højeste incidensrater til optagelse på top 10-listen. Derudover tager de resultater fra samfundsundersøgelser i betragtning for at identificere potentielle tilføjelser til listen. Den endelige udvælgelsesproces involverer anvendelse af standardiserede kriterier til at vurdere udnyttelsesevne og påvirkning, hvilket letter rangeringen af Top 10-listen i rækkefølge efter risikoens alvorlighed.
CWE (Common Weakness Enumeration) giver en standardiseret måde at identificere, kategorisere og prioritere almindelige sikkerhedssvagheder i software og hardware. Hver CWE-opgørelse indeholder en beskrivelse af svagheden, eksempler på, hvordan den kan manifestere sig i kode eller systemer, potentielle konsekvenser, hvis den udnyttes, og afbødningsstrategier.
OWASP Top 10-liste over sårbarheder
Hver kategori på Top 10-listen ledsages af forskellige datafaktorer, herunder antallet af kortlagte CWE'er, incidensrater, testdækning og vægtede exploit- og impact-scorer. Disse målinger giver en omfattende forståelse af prævalensen og alvorligheden af sikkerhedsrisici på tværs af forskellige kategorier.
I den seneste udgave af OWASP Top 10 for 2021 var dette resultatet:
Defekt adgangskontrol (A01:2021)
Fremstår som den kategori med den mest alvorlige sikkerhedsrisiko, hvilket afspejler forekomsten af sårbarheder inden for adgangskontrol i webapplikationer.
Underliggende årsager:
Utilstrækkelige autorisationskontrollerManglende håndhævelse af adgangskontroller, såsom utilstrækkelig kontrol af brugertilladelser eller roller.
Usikre direkte objektreferencer (IDOR)Tillader brugere at få direkte adgang til ressourcer ved at manipulere parametre (f.eks. URL'er eller formularfelter) uden korrekt godkendelseskontrol.
Forudsigelige ressourceplaceringerGør ressourcer tilgængelige via forudsigelige URL'er eller stier, hvilket gør det muligt for uautoriserede brugere at gætte eller brute-force adgang til begrænset indhold.
Manglende adgangskontroller på funktionsniveauManglende implementering af adgangskontroller på funktions- eller funktionsniveau, hvilket giver uautoriserede brugere mulighed for at udføre privilegerede handlinger.
Potentiel påvirkning:
DatabrænkelserUautoriseret adgang til følsomme data, herunder personligt identificerbare oplysninger (PII), økonomiske optegnelser eller fortrolige oplysninger.
Privilegie-eskaleringUautoriserede brugere får forhøjede rettigheder eller administratoradgang, hvilket fører til yderligere udnyttelse og kompromittering af systemet.
Data manipulationUautoriserede brugere ændrer eller sletter kritiske data, hvilket fører til datatab, beskadigelse eller integritetskrænkelser.
Juridiske og regulatoriske konsekvenserOvertrædelse af compliancekrav, såsom GDPR eller HIPAA, hvilket resulterer i juridiske sanktioner, bøder og skade på organisationens omdømme.
Anbefalede strategier til forebyggelse og afbødning:
Implementer korrekt adgangskontrolHåndhæv princippet om mindste privilegier (PoLP) ved at sikre, at brugerne kun får adgang til ressourcer og funktioner, der er nødvendige for deres rolle eller opgave.
Brug sikre indirekte objektreferencerUndgå at eksponere interne objektreferencer direkte for brugerne, og brug indirekte referencer, der er knyttet til autoriserede ressourcer.
Anvend stærk godkendelse og sessionsstyringImplementer robuste godkendelsesmekanismer, såsom multifaktorgodkendelse (MFA), og sørg for sikker sessionshåndtering for at forhindre uautoriseret adgang.
Regelmæssig sikkerhedstestUdfør omfattende sikkerhedsvurderinger, herunder penetrationstest og kodegennemgange, for at identificere og håndtere sårbarheder i adgangskontrol.
Overvåg og revider adgangImplementer logførings- og overvågningsmekanismer for at spore brugeradgang og opdage mistænkelige eller uautoriserede aktiviteter i realtid.
Uddan udviklere og administratorerTilbyd trænings- og oplysningsprogrammer til udviklere og administratorer om sikre kodningspraksisser, principper for adgangskontrol og almindelige sårbarheder som f.eks. ødelagt adgangskontrol.
Ved at adressere disse underliggende årsager og implementere de anbefalede strategier kan organisationer reducere risikoen for udnyttelse betydeligt på grund af Ødelagt adgangskontrol sårbarheder og forbedre den overordnede sikkerhedstilstand i deres webapplikationer.
Kryptografiske fejl (A02:2021)
Stiger op til andenpladsen og fremhæver vigtigheden af at adressere kryptografiske svagheder for at forhindre eksponering af følsomme data eller systemkompromittering.
Underliggende årsager:
Svage krypteringsalgoritmerBrug af forældede eller svage kryptografiske algoritmer (f.eks. MD5, SHA-1), der er modtagelige for brute-force-angreb eller kryptografiske sårbarheder.
Usikker nøglehåndteringDårligt administrerede krypteringsnøgler, herunder svag nøglegenerering, utilstrækkelig nøglelagring eller forkert nøglebrug, hvilket fører til kompromittering af krypterede data.
Utilstrækkelig entropiUtilstrækkelig tilfældighed i genereringen af kryptografiske nøgler eller initialiseringsvektorer (IV'er), hvilket gør kryptering modtagelig for kryptografiske angreb som brute-force eller ordbogsangreb.
Forkert brug af kryptografiske bibliotekerMisbrug eller forkert konfiguration af kryptografiske biblioteker og API'er, hvilket fører til usikre kryptografiske implementeringer og sårbarheder.
Potentiel påvirkning:
DataeksponeringEksponering af følsomme oplysninger på grund af angriberes dekryptering af krypterede data, hvilket resulterer i uautoriseret adgang til fortrolige data.
Krænkelse af dataintegritetManipulation af krypterede data uden registrering, hvilket fører til datakorruption, manipulation eller uautoriserede ændringer.
Tab af tillidSkade på organisationens omdømme og tab af tillid fra kunder eller interessenter på grund af kryptografiske fejl og databrud.
Regulativ manglende overholdelseManglende overholdelse af lovgivningsmæssige krav vedrørende datakryptering og -beskyttelse, hvilket fører til juridiske konsekvenser og økonomiske sanktioner.
Anbefalede strategier til forebyggelse og afbødning:
Brug stærke kryptografiske algoritmerBrug moderne kryptografiske algoritmer i branchestandard (f.eks. AES, RSA, ECC) med tilstrækkelige nøglelængder og sikkerhedsparametre til at sikre robust kryptering.
Sikker nøglehåndteringImplementer sikre nøglehåndteringspraksisser, herunder sikker generering, opbevaring, rotation og bortskaffelse af krypteringsnøgler, ved hjælp af hardwaresikkerhedsmoduler (HSM'er), hvor det er relevant.
Sørg for tilstrækkelig entropiSørg for korrekte entropikilder til generering af kryptografiske nøgler og initialiseringsvektorer, f.eks. ved brug af kryptografisk sikre pseudo-tilfældige talgeneratorer (CSPRNG'er).
Følg bedste praksisOverhold etablerede bedste praksisser og retningslinjer for kryptografi, såsom dem der er fastsat af standardiseringsorganer (f.eks. NIST, ISO), kryptografiske biblioteker og brancheeksperter.
Regelmæssige sikkerhedsrevisionerUdfør regelmæssige kryptografiske revisioner og vurderinger for at identificere svagheder eller sårbarheder i kryptografiske implementeringer og adressere dem omgående.
Sikker konfigurationKonfigurer kryptografiske biblioteker og API'er sikkert i henhold til leverandørens anbefalinger og sikkerhedsretningslinjer for at afbøde almindelige kryptografiske sårbarheder.
UddannelseTilbyd trænings- og oplysningsprogrammer for udviklere og administratorer om kryptografiske koncepter, bedste praksis og almindelige faldgruber for at undgå kryptografiske fejl.
Ved at adressere disse underliggende årsager og implementere de anbefalede strategier kan organisationer styrke deres kryptografiske forsvar, mindske risikoen for kryptografiske fejl og beskytte følsomme data mod uautoriseret adgang og manipulation.
Injektion (A03:2021)
Fremhæv den vedvarende trussel fra injektionsangreb på trods af udbredt opmærksomhed og testindsats.
Underliggende årsager:
Manglende inputvalideringManglende korrekt validering og rensning af brugerleveret input, før det bruges i dynamiske forespørgsler eller kommandoer.
Forkert brug af dynamiske forespørgslerKonstruktion af SQL-forespørgsler, LDAP-forespørgsler eller andre dynamiske kommandoer ved at sammenkæde brugerinput uden korrekt parametrisering eller escape.
Usikker interpolationIntegrering af brugerstyrede data direkte i fortolkede strenge eller kommandoer uden tilstrækkelig escape eller kodning.
Utilstrækkelig outputkodningManglende korrekt kodning eller rensning af brugergenereret indhold, før det gengives på dynamiske websider eller i skabeloner.
Potentiel påvirkning:
DataovertrædelseUautoriseret adgang til følsomme oplysninger, der er gemt i databaser, herunder personligt identificerbare oplysninger (PII), økonomiske optegnelser eller godkendelsesoplysninger.
Data manipulationÆndring eller sletning af kritiske data i databasen, hvilket fører til datakorruption, integritetskrænkelser eller uautoriserede transaktioner.
ServerkompromitteretInjektionsangreb kan bruges til at udføre vilkårlig kode på serveren, hvilket fører til serverkompromittering, dataeksfiltrering eller yderligere udnyttelse af systemet.
Denial of Service (DoS)Injektionsangreb kan forstyrre tilgængeligheden af webapplikationer ved at forårsage serveroverbelastning, ressourceudtømning eller systemnedbrud.
Anbefalede strategier til forebyggelse og afbødning:
Brug parameteriserede forespørgslerForetræk parameteriserede forespørgsler (forberedte statements) med bundne parametre frem for dynamisk SQL-konstruktion for at forhindre injektionsangreb i databaseinteraktioner.
Inputvalidering og saneringValider og rengør alt brugerleveret input for at sikre, at det overholder forventede formater og ikke indeholder skadelige tegn eller data.
Mindste privilegium-princippetBegræns databasetilladelser og adgangsrettigheder for programkonti for at reducere virkningen af injektionsangreb, hvis de opstår.
Brug ORM eller sikre API'erBrug ORM-frameworks (objektrelationelle kortlægning) eller sikre API'er, der leveres af programmeringssproget eller -platformen, til at abstrahere databaseinteraktioner og forhindre injektionssårbarheder.
UdgangskodningKod brugergenereret indhold, før det gengives i HTML, JavaScript, SQL eller andre kontekster, for at forhindre indsprøjtning af ondsindede scripts eller kommandoer.
SikkerhedstestUdfør regelmæssige sikkerhedsvurderinger, herunder penetrationstest og kodegennemgange, for at identificere og adressere injektionssårbarheder i applikationens kodebase.
Afhængigheder for patch og opdateringHold softwareafhængigheder (biblioteker, frameworks, databaser) opdateret med de seneste sikkerhedsrettelser og -rettelser for at afbøde kendte injektionssårbarheder.
Uddanne udviklereTilbyd trænings- og oplysningsprogrammer for udviklere om sikre kodningspraksisser, injektionssårbarheder og teknikker til forebyggelse og afhjælpning.
Ved at implementere disse anbefalede strategier og anvende en proaktiv tilgang til sikkerhed kan organisationer reducere risikoen for injektionssårbarheder og beskytte deres webapplikationer mod udnyttelse og kompromittering.
Usikkert design (A04:2021)
Introduceret som en ny kategori, der understreger vigtigheden af at adressere designfejl gennem robust trusselsmodellering og sikre designpraksisser.
Underliggende årsager:
Mangel på designmæssig sikkerhedManglende hensyntagen til sikkerhedskrav i designfasen af softwareudviklingslivscyklussen.
Alt for permissive adgangskontrollerDesign af systemer med alt for permissive adgangskontroller, såsom at tildele unødvendige rettigheder til brugere eller komponenter.
Utilstrækkelig trusselsmodelleringManglende gennemførelse af omfattende trusselsmodellering for at identificere potentielle sikkerhedstrusler og sårbarheder tidligt i designprocessen.
Utilstrækkelig adskillelse af bekymringerBlanding af sikkerhedskritiske og ikke-sikkerhedskritiske komponenter i det samme system eller modul, hvilket øger angrebsfladen og kompleksiteten.
Potentiel påvirkning:
Øget angrebsoverfladeUsikre designbeslutninger kan resultere i en større angrebsflade, hvilket giver modstandere flere muligheder for at udnytte sårbarheder og kompromittere systemet.
Vanskeligheder med afhjælpningUsikre designfejl kan være dybt forankret i systemets arkitektur, hvilket gør dem vanskelige og dyre at afhjælpe efter implementeringen.
DatabrænkelserUsikkert design kan føre til sårbarheder, der muliggør uautoriseret adgang til følsomme data, hvilket resulterer i databrud og krænkelser af privatlivets fred.
Regulativ manglende overholdelseManglende overholdelse af bedste praksis for sikkerhedsdesign og overholdelse af krav kan resultere i juridiske konsekvenser, bøder og skade på organisationens omdømme.
Anbefalede strategier til forebyggelse og afbødning:
Sikkerhed ved designIntegrer sikkerhedshensyn i designfasen af softwareudviklingslivscyklussen, herunder trusselsmodellering, risikovurdering og analyse af sikkerhedskrav.
Princippet om mindst privilegium (PoLP)Anvend princippet om mindst mulig privilegium til at begrænse adgangsrettigheder og tilladelser til kun dem, der er nødvendige for, at brugere og komponenter kan udføre deres tilsigtede funktioner.
Adskillelse af bekymringerDesign systemer med klar adskillelse af sikkerhedskritiske og ikke-sikkerhedskritiske komponenter for at minimere virkningen af sikkerhedsbrud og lette vedligeholdelse og opdateringer.
Anmeldelser af sikkerhedsarkitekturUdfør regelmæssige gennemgange af sikkerhedsarkitekturen for at evaluere systemets sikkerhedstilstand og identificere designfejl og sårbarheder tidligt i udviklingsprocessen.
Sikker standardBrug sikre standardindstillinger til systemkonfigurationer, indstillinger og adgangskontroller for at reducere risikoen for fejlkonfigurationer og sikre et grundlæggende sikkerhedsniveau.
TrusselsmodelleringUdfør omfattende trusselsmodelleringsøvelser for at identificere potentielle trusler, angrebsvektorer og sikkerhedskontroller, der er nødvendige for at afbøde risici i hele systemets livscyklus.
Sikkerhedstræning og -bevidsthedTilbyd løbende sikkerhedstræning og -bevidsthedsprogrammer for udviklere, arkitekter og interessenter for at fremme en kultur præget af sikkerhedsbevidsthed og bedste praksis.
Ved at anvende disse anbefalede strategier og integrere sikkerhedshensyn i design og arkitektur af softwaresystemer kan organisationer reducere sandsynligheden for usikre designsårbarheder og bygge mere robuste og sikre applikationer.
Fejlkonfiguration af sikkerhed (A05:2021)
Stigning i rangering, hvilket understreger vigtigheden af at konfigurere softwarekomponenter sikkert for at afbøde sårbarheder.
Underliggende årsager:
StandardindstillingerManglende ændring af standardindstillinger eller konfigurationer af softwarekomponenter, frameworks eller platforme, hvilket kan omfatte usikre standardindstillinger eller unødvendige funktioner, der er aktiveret som standard.
Ukorrekte tilladelserForkert konfigurerede adgangskontroller, tilladelser eller privilegier på filer, mapper, databaser eller andre ressourcer, hvilket tillader uautoriseret adgang eller eskalering af privilegier.
Forældet softwareManglende installation af sikkerhedsrettelser, opdateringer eller hotfixes på softwarekomponenter, hvilket efterlader kendte sårbarheder uopdaterede og kan udnyttes.
Ubrugte tjenester: Lader unødvendige tjenester, porte eller protokoller være aktiverede eller tilgængelige, hvilket øger angrebsfladen og giver potentielle indgangspunkter for angribere.
Potentiel påvirkning:
DatabrænkelserFejlkonfigurationer af sikkerhed kan føre til uautoriseret adgang til følsomme data, der er gemt i databaser, filsystemer eller andre lagre, hvilket resulterer i databrud og krænkelser af privatlivets fred.
SystemkompromisAngribere kan udnytte fejlkonfigurationer til at kompromittere servere, applikationer eller infrastrukturkomponenter, hvilket fører til datatab, tjenesteafbrydelse eller serverkompromittering.
Regulativ manglende overholdelseManglende overholdelse af bedste praksis for sikkerhedskonfiguration og overholdelse af krav kan resultere i juridiske konsekvenser, bøder og skade på organisationens omdømme.
Tab af tillidFejlkonfigurationer i sikkerhedssystemer kan undergrave kundernes tillid til organisationens evne til at beskytte deres data og følsomme oplysninger, hvilket kan føre til omdømmeskade og tab af forretning.
Anbefalede strategier til forebyggelse og afbødning:
Sikker konfigurationsvejledningFølg vejledninger til sikker konfiguration og bedste praksis fra softwareleverandører, branchestandardiseringsorganer og sikkerhedsorganisationer for at konfigurere systemer sikkert.
Regelmæssige sikkerhedsrevisionerUdfør regelmæssige sikkerhedsrevisioner og -vurderinger, herunder sårbarhedsscanninger og penetrationstests, for at identificere fejlkonfigurationer og sårbarheder i systemet.
Automatiseret konfigurationsstyringBrug automatiserede konfigurationsstyringsværktøjer og scripts til at håndhæve ensartede og sikre konfigurationer på tværs af alle systemer og miljøer.
Mindste privilegium-princippetAnvend princippet om mindste privilegier (PoLP) til at begrænse adgangsrettigheder og tilladelser til kun dem, der er nødvendige for, at brugere og komponenter kan udføre deres tilsigtede funktioner.
Patch ManagementImplementer en robust proces til administration af patches for at sikre rettidig implementering af sikkerhedsrettelser, opdateringer og rettelser til alle softwarekomponenter og afhængigheder.
Retningslinjer for hærdningAnvend retningslinjer for hærdning og sikkerhedsgrundlinjer på servere, applikationer, databaser og andre infrastrukturkomponenter for at reducere angrebsfladen og afbøde almindelige sikkerhedsrisici.
Kontinuerlig overvågningImplementer løbende overvågnings- og logføringsmekanismer for at opdage og advare om sikkerhedsfejlkonfigurationer, uautoriserede ændringer og mistænkelige aktiviteter i realtid.
Sikkerhedstræning og -bevidsthedTilbyd løbende sikkerhedstræning og -bevidsthedsprogrammer for administratorer, udviklere og andre interessenter for at uddanne dem om bedste praksis inden for sikkerhed og vigtigheden af sikker konfiguration.
Ved at implementere disse anbefalede strategier og anvende en proaktiv tilgang til styring af sikkerhedskonfiguration kan organisationer reducere risikoen for fejlkonfigurationer i sikkerhedssystemer og forbedre den overordnede sikkerhedstilstand i deres systemer og applikationer.
Sårbare og forældede komponenter (A06:2021)
Får fremtrædende plads, hvilket afspejler de udfordringer, der er forbundet med at identificere og håndtere sårbarheder i tredjepartskomponenter.
Underliggende årsager:
Kunne ikke opdatere afhængighederUndladelse af at opdatere tredjepartsbiblioteker, frameworks eller komponenter til deres seneste sikre versioner, hvilket efterlader kendte sårbarheder uoprettet.
Mangel på synlighedUtilstrækkelig indsigt i brugen af tredjepartskomponenter og deres afhængigheder i applikationens kodebase, hvilket gør det udfordrende at spore og håndtere sårbarheder.
Usikre standarderBrug af standardkonfigurationer eller -indstillinger i tredjepartskomponenter, der kan omfatte usikre funktioner, unødvendig funktionalitet eller svage sikkerhedskontroller.
AfhængighedsudbredelseOverdreven afhængighed af tredjepartsafhængigheder eller -biblioteker uden ordentlig gennemgang eller overvejelse af deres sikkerhedsmæssige konsekvenser, hvilket fører til øget angrebsflade og potentielle sårbarheder.
Potentiel påvirkning:
Udnyttelse af kendte sårbarhederAngribere kan udnytte kendte sårbarheder i forældede komponenter til at kompromittere applikationens sikkerhed, hvilket kan føre til databrud, uautoriseret adgang eller andre sikkerhedshændelser.
DatabrænkelserSårbarheder i forældede komponenter kan resultere i uautoriseret adgang til følsomme data, såsom personligt identificerbare oplysninger (PII), økonomiske optegnelser eller intellektuel ejendom, hvilket kan føre til databrud og overtrædelser af regler og regler.
Tab af tillidSikkerhedshændelser som følge af sårbare og forældede komponenter kan undergrave kundernes tillid til organisationens evne til at beskytte deres data og følsomme oplysninger, hvilket kan føre til omdømmeskade og tab af forretning.
Regulativ manglende overholdelseManglende opdatering af sårbare komponenter og manglende overholdelse af bedste praksis for sikkerhed kan resultere i manglende overholdelse af branchebestemmelser og databeskyttelseslove, hvilket kan føre til juridiske konsekvenser, bøder og sanktioner.
Anbefalede strategier til forebyggelse og afbødning:
Inventar og synlighedVedligehold en opdateret fortegnelse over alle tredjepartskomponenter og afhængigheder, der bruges i applikationen, herunder deres versioner og potentielle sårbarheder.
Administration af programrettelser og opdateringerImplementer en robust programrettelsesadministrationsproces for regelmæssigt at opdatere tredjepartskomponenter til deres nyeste sikre versioner, og adressere kendte sårbarheder og sikkerhedsproblemer.
SårbarhedsscanningUdfør regelmæssige sårbarhedsscanninger og -vurderinger for at identificere og prioritere sårbarheder i tredjepartskomponenter med fokus på kritiske eller højrisikoproblemer, der kræver øjeblikkelig opmærksomhed.
AfhængighedsstyringBrug værktøjer til afhængighedsstyring og SCA-værktøjer (software composition analysis) til at spore og administrere tredjepartsafhængigheder, automatisk registrere sårbarheder og håndhæve politikker for sikker brug.
Leverandør- og lokalsamfundsstøtteHold dig informeret om sikkerhedsrådgivning, programrettelser og opdateringer udgivet af tredjepartsleverandører og open source-fællesskaber, og anvend dem straks for at afbøde kendte sårbarheder.
Statisk og dynamisk analyseUdfør statisk og dynamisk analyse af applikationskode for at identificere og fjerne ubrugte eller unødvendige afhængigheder, reducere angrebsfladen og minimere risikoen for sårbarheder.
Sikker kodningspraksisFølg sikre kodningspraksisser og retningslinjer, når du integrerer tredjepartskomponenter, og sørg for, at de bruges sikkert og konfigureres korrekt for at mindske potentielle sikkerhedsrisici.
Kontinuerlig overvågningImplementer løbende overvågnings- og logføringsmekanismer for at opdage og advare om sikkerhedshændelser relateret til sårbare og forældede komponenter, hvilket muliggør rettidig reaktion og afhjælpning.
Ved at implementere disse anbefalede strategier og anvende en proaktiv tilgang til håndtering af tredjepartsafhængigheder kan organisationer reducere risikoen for sårbarheder, der opstår fra sårbare og forældede komponenter, og forbedre den overordnede sikkerhedstilstand i deres applikationer.
Identifikations- og godkendelsesfejl (A07:2021)
Forskydninger nedad, hvilket indikerer forbedringer i autentificeringsmekanismer, men fremhæver de vedvarende udfordringer i identifikationsprocesser.
Underliggende årsager:
Svage legitimationsoplysningerBrug af svage eller let gættelige adgangskoder, såsom almindelige ord i ordbogen, standardadgangskoder eller adgangskoder baseret på personlige oplysninger, hvilket gør det nemmere for angribere at kompromittere brugerkonti.
Usikre godkendelsesmekanismerImplementering af usikre godkendelsesmekanismer, såsom klartekst- eller svag kryptering af adgangskoder, mangel på multifaktorgodkendelse (MFA) eller utilstrækkelige kontroller til sessionsstyring.
Manglende håndhævelse af stærke godkendelsespolitikkerManglende håndhævelse af stærke adgangskodepolitikker, udløb af adgangskoder eller mekanismer for kontoudlåsning, hvilket giver angribere mulighed for at brute-force eller gætte legitimationsoplysninger.
Utilstrækkelig brugerverifikationUtilstrækkelig verifikation af brugeridentiteter under godkendelsesprocessen, f.eks. svage eller ikke-eksisterende identitetsverifikationsspørgsmål, der giver angribere mulighed for at udgive sig for at være legitime brugere.
Potentiel påvirkning:
Uautoriseret adgangIdentifikations- og godkendelsesfejl kan føre til uautoriseret adgang til følsomme oplysninger, systemer eller ressourcer, hvilket giver angribere mulighed for at stjæle data, manipulere systemer eller udføre ondsindede aktiviteter.
DatabrænkelserKompromitterede brugeroplysninger kan bruges til at få adgang til følsomme data, der er gemt i databaser, hvilket resulterer i databrud, krænkelser af privatlivets fred og eksponering af fortrolige oplysninger.
KontoovertagelseAngribere kan udnytte identifikations- og godkendelsesfejl til at overtage brugerkonti, udgive sig for at være legitime brugere og udføre uautoriserede handlinger på vegne af de kompromitterede konti.
Økonomisk tabUautoriseret adgang til finansielle konti eller systemer kan føre til økonomisk tab, svigagtige transaktioner eller tyveri af midler, hvilket påvirker både enkeltpersoner og organisationer.
Anbefalede strategier til forebyggelse og afbødning:
Stærke adgangskodepolitikkerHåndhæv stærke adgangskodepolitikker, herunder krav til minimumslængde, kompleksitet og regelmæssig adgangskoderotation, for at mindske risikoen for svage eller let gættelige adgangskoder.
Multifaktorautentificering (MFA)Implementer multifaktorgodkendelse (MFA) for at tilføje et ekstra sikkerhedslag ud over adgangskoder, f.eks. engangsadgangskoder (OTP), biometrisk godkendelse eller hardwaretokens.
Sikre godkendelsesmekanismerBrug sikre godkendelsesmekanismer, såsom hashede og saltede adgangskoder, der opbevares sikkert, kryptering af godkendelsesoplysninger under overførsel og sikre sessionsstyringspraksisser.
KontolåsemekanismerImplementer kontospærringsmekanismer for at forhindre brute-force-angreb og uautoriserede adgangsforsøg ved at låse brugerkonti efter et vist antal mislykkede loginforsøg.
BrugeruddannelseUddan brugerne om vigtigheden af stærke adgangskoder, sikre godkendelsespraksisser og genkendelse af phishing-angreb for at reducere sandsynligheden for kompromittering af legitimationsoplysninger.
Kontinuerlig overvågningImplementer kontinuerlig overvågning og logføring af godkendelseshændelser for at opdage og reagere på mistænkelige aktiviteter, såsom flere mislykkede loginforsøg eller usædvanlige loginmønstre.
Identitets- og adgangsstyring (IAM)Implementer robuste politikker og kontroller for identitets- og adgangsstyring (IAM) for effektivt at administrere brugeridentiteter, roller og tilladelser, sikre adgang med færrest mulige privilegier og korrekt opgaveadskillelse.
Regelmæssige sikkerhedsrevisionerUdfør regelmæssige sikkerhedsrevisioner og vurderinger af godkendelsesmekanismer for at identificere sårbarheder, fejlkonfigurationer eller svagheder, der kan føre til identifikations- og godkendelsesfejl.
Ved at implementere disse anbefalede strategier og anvende en proaktiv tilgang til identifikations- og autentificeringssikkerhed kan organisationer reducere risikoen for uautoriseret adgang, databrud og kontoovertagelser og dermed forbedre den overordnede sikkerhedstilstand for deres systemer og applikationer.
Software- og dataintegritetsfejl (A08:2021)
Ny kategori, der understreger vigtigheden af at verificere softwareintegritet og dataintegritet for at forhindre udnyttelse.
Underliggende årsager:
Manglende datavalideringManglende validering og rensning af inputdata fra eksterne kilder, hvilket kan føre til potentiel datakorruption, manipulation eller injektionsangreb.
Usikker filhåndteringForkert håndtering af filer uploadet af brugere, såsom utilstrækkelig validering af filtyper, manglende filintegritetskontrol eller usikre fillagringspraksisser.
Usikker dataoverførselUtilstrækkelig beskyttelse af data under transmission via usikre kanaler, såsom transmission af følsomme oplysninger i klartekst eller manglende kryptering.
Injektion af ondsindet kodeInjektion af ondsindet kode i software- eller datalagre, såsom SQL-injektion, cross-site scripting (XSS) eller sårbarheder i forbindelse med fjernudførelse af kode.
Potentiel påvirkning:
DatakorruptionSoftware- og dataintegritetsfejl kan føre til beskadigelse eller manipulation af kritiske data, herunder økonomiske optegnelser, kundeoplysninger eller systemkonfigurationer.
Tab af tillidDataintegritetsfejl kan undergrave tilliden til integriteten og pålideligheden af systemer og applikationer, hvilket kan føre til omdømmeskade og tab af forretning.
SikkerhedsbrudUdnyttelse af integritetsfejl kan resultere i sikkerhedsbrud, uautoriseret adgang til følsomme oplysninger eller kompromittering af systemintegriteten, hvilket kan føre til økonomisk tab eller juridiske konsekvenser.
Afbrydelse af driftenDataintegritetsfejl kan forstyrre forretningsdriften og forårsage nedetid, afbrydelser af tjenester eller tab af produktivitet, hvilket påvirker både interne interessenter og eksterne kunder.
Anbefalede strategier til forebyggelse og afbødning:
InputvalideringImplementer robuste inputvalideringsmekanismer for at sikre, at alt datainput fra eksterne kilder valideres og renses for at forhindre injektionsangreb og datakorruption.
Sikker filhåndteringImplementer sikre filhåndteringspraksisser, såsom validering af filtyper, udførelse af filintegritetskontroller og lagring af uploadede filer på sikre steder beskyttet mod uautoriseret adgang.
KrypteringBrug kryptering til at beskytte data i hvile og under overførsel, og sørg for, at følsomme oplysninger krypteres ved hjælp af stærke krypteringsalgoritmer og korrekt administrerede krypteringsnøgler.
Sikre kodningspraksisser: Følg sikre kodningspraksisser og retningslinjer for at afbøde almindelige sårbarheder, der kan føre til software- og dataintegritetsfejl, såsom injektionsangreb, usikker filhåndtering eller forkert datavalidering.
Mindste privilegium-princippetAnvend princippet om mindste privilegier (PoLP) til at begrænse adgangsrettigheder og tilladelser til kun dem, der er nødvendige for, at brugere og komponenter kan udføre deres tilsigtede funktioner, hvilket reducerer risikoen for uautoriseret dataadgang eller manipulation.
DataintegritetstjekImplementer dataintegritetskontroller, såsom checksummer eller digitale signaturer, for at opdage og forhindre uautoriserede ændringer af data og sikre dataintegritet gennem hele deres livscyklus.
Regelmæssige sikkerhedsrevisionerUdfør regelmæssige sikkerhedsrevisioner og -vurderinger for at identificere sårbarheder, fejlkonfigurationer eller svagheder, der kan føre til software- og dataintegritetsfejl, og træf korrigerende handlinger for at håndtere dem omgående.
Kontinuerlig overvågningImplementer løbende overvågnings- og logføringsmekanismer for at opdage og advare om mistænkelige aktiviteter eller integritetskrænkelser i realtid, hvilket muliggør rettidig reaktion og afbødning af sikkerhedshændelser.
Ved at implementere disse anbefalede strategier og ved at anvende en proaktiv tilgang til software- og dataintegritet kan organisationer reducere risikoen for integritetsfejl, beskytte følsomme oplysninger mod uautoriseret adgang eller manipulation og forbedre den overordnede sikkerhedstilstand for deres systemer og applikationer.
Fejl i sikkerhedslogning og overvågning (A09:2021)
Omplaceret og udvidet til at omfatte en bredere vifte af fejl, der påvirker synlighed og hændelsesrespons.
Underliggende årsager:
Utilstrækkelig logføringManglende implementering af omfattende logføringsmekanismer til at registrere relevante sikkerhedshændelser, såsom mislykkede godkendelsesforsøg, fejl i adgangskontrol eller mistænkelige aktiviteter.
Utilstrækkelig overvågningMangel på realtidsovervågning og alarmfunktioner til at opdage og reagere hurtigt på sikkerhedshændelser, såsom uautoriseret adgang, databrud eller ondsindede aktiviteter.
Forkert konfigurationForkert konfiguration af logging- og overvågningssystemer, såsom manglende aktivering af tilstrækkelige logniveauer, opbevaringsperioder eller sikker overførsel af logdata, hvilket fører til huller i dækning og synlighed.
Mangel på integrationManglende integration af logging- og overvågningssystemer med sikkerhedsinformations- og hændelsesstyringsplatforme (SIEM) eller hændelsesresponsprocesser, hvilket hindrer effektiv trusselsdetektion og -respons.
Potentiel påvirkning:
Forsinket hændelsesresponsFejl i sikkerhedslogning og overvågning kan føre til forsinkelser i at opdage og reagere på sikkerhedshændelser, hvilket giver angribere mulighed for at forblive i miljøet og stjæle følsomme data.
Øget risikoeksponeringUtilstrækkelig indsigt i sikkerhedshændelser og -aktiviteter øger risikoen for uopdagede sårbarheder, fejlkonfigurationer eller uautoriseret adgang, hvilket gør organisationen sårbar over for udnyttelse.
Regulativ manglende overholdelseManglende implementering af korrekt logføring og overvågningspraksis kan resultere i manglende overholdelse af branchebestemmelser og databeskyttelseslove, hvilket kan føre til juridiske konsekvenser, bøder og sanktioner.
Tab af tillidFejl i sikkerhedslogning og -overvågning kan underminere kundernes tillid til organisationens evne til at beskytte deres data og reagere på sikkerhedshændelser, hvilket kan føre til omdømmeskade og tab af forretning.
Anbefalede strategier til forebyggelse og afbødning:
Omfattende logningImplementer omfattende logføringsmekanismer for at registrere sikkerhedsrelevante hændelser og aktiviteter på tværs af hele IT-infrastrukturen, herunder servere, applikationer, netværk og slutpunkter.
RealtidsovervågningImplementer overvågnings- og alarmfunktioner i realtid for at opdage og reagere hurtigt på sikkerhedshændelser, såsom uautoriserede adgangsforsøg, databrud eller unormale aktiviteter.
Centraliseret logningCentraliser logindsamling og -styring ved hjælp af centraliserede logløsninger eller SIEM-platforme for at aggregere, korrelere og analysere logdata fra forskellige kilder for forbedret trusselsdetektion og hændelsesrespons.
Incident Response PlanningUdvikle og vedligeholde en hændelsesresponsplan, der beskriver procedurer for at detektere, vurdere og reagere på sikkerhedshændelser, herunder roller og ansvar, kommunikationsprotokoller og eskaleringsprocedurer.
Regelmæssig revision og testUdfør regelmæssige revisioner og test af logging- og overvågningssystemer for at sikre, at de er korrekt konfigureret, fungerer som tilsigtet og er i stand til effektivt at opdage og varsle om sikkerhedshændelser.
Sikkerhedstræning og -bevidsthedTilbyde trænings- og oplysningsprogrammer for sikkerhedsteams, IT-personale og andre interessenter om vigtigheden af logning og overvågning, samt bedste praksis for konfiguration og administration af lognings- og overvågningssystemer.
Kontinuerlig forbedringLøbende evaluering og forbedring af logførings- og overvågningspraksis baseret på erfaringer fra sikkerhedshændelser, ændringer i trusselsbilledet og nye bedste praksisser inden for sikkerhedslogføring og -overvågning.
Ved at implementere disse anbefalede strategier og anvende en proaktiv tilgang til sikkerhedslogning og -overvågning kan organisationer forbedre deres evne til effektivt at opdage, reagere på og afbøde sikkerhedshændelser, hvilket reducerer risikoen for uautoriseret adgang, databrud og omdømmeskade.
Server-Side Request Forgery (SSRF) (A10:2021)
Tilføjet baseret på feedback fra lokalsamfundet og fremhæver vigtigheden af at adressere denne risiko på trods af relativt lave incidensrater.
Underliggende årsager:
Manglende inputvalideringManglende korrekt validering og rensning af brugerangivet input, der bruges til at konstruere URL'er eller foretage HTTP-anmodninger.
Usikker adgang til eksterne ressourcerTillader applikationer at foretage anmodninger til eksterne ressourcer, såsom HTTP- eller FTP-servere, uden korrekt validering eller begrænsning.
Forkert konfigurerede proxyindstillingerForkert konfigurerede proxyindstillinger, der tillader angribere at omgå begrænsninger og indirekte få adgang til interne ressourcer.
Usikre API-slutpunkter: Eksponering af interne API-slutpunkter for ikke-tillidfulde brugere, så de kan foretage vilkårlige anmodninger til interne systemer eller tjenester.
Potentiel påvirkning:
Uautoriseret adgangAngribere kan udnytte SSRF-sårbarheder til at få adgang til følsomme interne ressourcer, såsom filer, databaser eller administrative grænseflader, der ikke er beregnet til at blive eksponeret for omverdenen.
Datatyveri eller lækageSSRF-angreb kan føre til datatyveri eller lækage ved at få adgang til følsomme oplysninger, der er gemt på interne systemer, herunder legitimationsoplysninger, intellektuel ejendom eller kundedata.
ServerkompromitteretUdnyttelse af SSRF-sårbarheder kan føre til serverkompromittering eller fjernudførelse af kode ved at tilgå interne tjenester eller udnytte sårbare komponenter, der er tilgængelige fra serveren.
Angreb på applikationslagSSRF-sårbarheder kan bruges til at iværksætte angreb på applikationslaget, f.eks. ved at omgå adgangskontroller, udløse denial of service (DoS)-tilstande eller udføre server-sideangreb på interne systemer.
Anbefalede strategier til forebyggelse og afbødning:
Inputvalidering og hvidlistningImplementer streng inputvalidering og hvidlistning af URL'er og parametre for at forhindre angribere i at levere skadeligt input, der kan bruges til at udnytte SSRF-sårbarheder.
URL-parsingbibliotekerBrug sikre URL-parsningsbiblioteker eller indbyggede URL-håndteringsfunktioner, der leveres af programmeringssprog, til at parse og validere brugerangivne URL'er sikkert.
Begræns adgang til eksterne ressourcerBegræns eller deaktiver adgang til eksterne ressourcer, såsom HTTP- eller FTP-servere, indefra applikationen eller serverkonfigurationen, medmindre det er absolut nødvendigt.
Mindste privilegium-princippetAnvend princippet om mindste rettigheder (PoLP) til at begrænse tilladelser og muligheder for server-side komponenter, og sørg for at de kun har den nødvendige adgang til interne ressourcer.
NetværkssegmenteringImplementer netværkssegmentering for at isolere interne systemer og tjenester fra upålidelige netværk, hvilket reducerer den potentielle indvirkning af SSRF-angreb og begrænser angriberes evne til at få adgang til følsomme ressourcer.
Proxy-hvidlisteHvidliste betroede proxyservere og begræns adgangen til kun disse proxyer, hvilket forhindrer angribere i at omgå restriktioner og indirekte få adgang til interne ressourcer.
SikkerhedstestUdfør regelmæssig sikkerhedstest, herunder penetrationstest og sårbarhedsscanning, for at identificere og afbøde SSRF-sårbarheder i applikationer og serverkonfigurationer.
Sikker kodningspraksisFølg sikre kodningspraksisser og retningslinjer, når du udvikler og konfigurerer applikationer, og sørg for, at sikkerhedshensyn, såsom SSRF-forebyggelse, tages i betragtning gennem hele udviklingscyklussen.
Ved at implementere disse anbefalede strategier og ved at anvende en proaktiv tilgang til SSRF-forebyggelse og -afbødning kan organisationer reducere risikoen for uautoriseret adgang, databrud og serverkompromittering som følge af SSRF-sårbarheder.
Disse opdateringer afspejler den løbende indsats for at tilpasse sig udviklende trusler og understreger vigtigheden af proaktive sikkerhedsforanstaltninger i softwareudvikling.
Webapplikationsfirewall skal hjælpe med at håndtere OWASPs top 10 sårbarheder
En pålidelig Web Application Firewall (WAF), såsom RELIANOID, er i bund og grund en robust sikkerhedsforanstaltning designet til at beskytte webapplikationer mod forskellige trusler, herunder dem, der er beskrevet i OWASP Top 10-sårbarhederne. Lad os diskutere, hvordan en pålidelig WAF kan hjælpe med at håndtere hver af disse sårbarheder:
InjektionEn WAF kan inspicere indgående anmodninger for injektioner af ondsindet kode, såsom SQL-injektion eller NoSQL-injektion, og blokere eller rense dem, før de når applikationsserveren.
Brudt godkendelseVed at overvåge godkendelsesanmodninger og håndhæve stærke godkendelsespolitikker kan en WAF hjælpe med at forhindre uautoriserede adgangsforsøg, brute-force-angreb og kontokompromitteringer.
Følsomme dataeksponeringEn WAF kan registrere og blokere forsøg på at få adgang til følsomme data, såsom kreditkortnumre eller personligt identificerbare oplysninger (PII), og håndhæve kryptering af data under overførsel for at forhindre eksponering.
XML External Entities (XXE)WAF'er kan registrere og blokere XML-angreb fra eksterne enheder (XXE) ved at inspicere XML-anmodninger for referencer til eksterne enheder og blokere dem for at forhindre informationsafsløring eller denial of service.
Ødelagt adgangskontrolVed at håndhæve adgangskontrolpolitikker og overvåge adgangsforsøg kan en WAF hjælpe med at forhindre uautoriseret adgang til følsomme ressourcer eller funktioner i applikationen.
Fejlkonfiguration af sikkerhedWAF'er kan registrere og blokere anmodninger, der udnytter fejlkonfigurationer i applikationen eller serveren, såsom mappetraversalangreb eller uautoriseret adgang til konfigurationsfiler.
Cross-site scripting (XSS)WAF'er kan registrere og blokere XSS-angreb ved at inspicere og rense brugerleveret input for at forhindre ondsindede scripts i at køre i brugernes browsere.
Usikker deserialiseringWAF'er kan registrere og blokere forsøg på at udnytte usikre deserialiseringssårbarheder ved at inspicere og rense serialiserede data, før de behandles af applikationen.
Brug af komponenter med kendte sårbarhederWAF'er kan overvåge anmodninger og svar for kendte sårbarheder i tredjepartskomponenter, såsom biblioteker eller frameworks, og blokere eller advare om forsøg på at udnytte dem.
Utilstrækkelig logning og overvågningSelvom de ikke direkte afhjælper denne sårbarhed, tilbyder nogle WAF'er logførings- og overvågningsfunktioner, der kan supplere eksisterende logførings- og overvågningsløsninger og give yderligere indsigt i sikkerhedshændelser og -hændelser.
Kort sagt kan en pålidelig webapplikationsfirewall (WAF) spille en afgørende rolle i at håndtere OWASP's top 10-sårbarheder ved at yde proaktiv beskyttelse mod almindelige webapplikationstrusler og dermed hjælpe organisationer med at beskytte deres applikationer og data mod udnyttelse og kompromittering.
Hent RELIANOID Web Application Firewall og begynde at afbøde OWASP Top 10-sårbarhederne.
Relaterede blogs
