107 lines
2.8 KiB
Markdown
107 lines
2.8 KiB
Markdown
# OWASP Top Ten
|
||
|
||
## Definition
|
||
The OWASP Top Ten represents a broad consensus about the most critical security risks to web applications. It is a standard awareness document for developers and web application security.
|
||
|
||
## Aliases
|
||
- OWASP Top 10
|
||
- OWASP Top Ten Web Application Security Risks
|
||
|
||
## Purpose
|
||
为开发者和安全团队提供最关键 web 应用安全风险的共识性列表，是安全编码和测试的基础标准。
|
||
|
||
## Current List (2021)
|
||
|
||
### A01:2021 – Broken Access Control
|
||
访问控制失效，包括：
|
||
- 越权访问
|
||
- 绕过访问控制
|
||
- 不安全的直接对象引用
|
||
|
||
### A02:2021 – Cryptographic Failures
|
||
密码学失败，包括：
|
||
- 敏感数据泄露
|
||
- 弱加密算法
|
||
- 不正确的密钥管理
|
||
|
||
### A03:2021 – Injection
|
||
注入攻击，包括：
|
||
- SQL 注入
|
||
- NoSQL 注入
|
||
- OS 命令注入
|
||
- LDAP 注入
|
||
|
||
### A04:2021 – Insecure Design
|
||
不安全设计，包括：
|
||
- 缺失或无效的访问控制
|
||
- 业务逻辑漏洞
|
||
- 威胁建模缺失
|
||
|
||
### A05:2021 – Security Misconfiguration
|
||
安全配置错误，包括：
|
||
- 不安全的默认配置
|
||
- 错误处理信息泄露
|
||
- 云服务配置错误
|
||
|
||
### A06:2021 – Vulnerable and Outdated Components
|
||
易受攻击和过时的组件，包括：
|
||
- 使用有漏洞的库
|
||
- 未更新依赖
|
||
- 不支持组件
|
||
|
||
### A07:2021 – Identification and Authentication Failures
|
||
身份识别和认证失败，包括：
|
||
- 弱密码策略
|
||
- 会话管理问题
|
||
- 凭证泄露
|
||
|
||
### A08:2021 – Software and Data Integrity Failures
|
||
软件和数据完整性失败，包括：
|
||
- 不安全的 CI/CD
|
||
- 依赖混淆攻击
|
||
- 更新未签名
|
||
|
||
### A09:2021 – Security Logging and Monitoring Failures
|
||
安全日志和监控失败，包括：
|
||
- 未记录安全事件
|
||
- 告警未处理
|
||
- 响应延迟
|
||
|
||
### A10:2021 – Server-Side Request Forgery (SSRF)
|
||
服务端请求伪造，包括：
|
||
- 从应用获取内部资源
|
||
- 绕过防火墙
|
||
- 访问云元数据服务
|
||
|
||
## Integration with DevSecOps
|
||
|
||
### Development Phase
|
||
- 安全编码培训以 OWASP Top Ten 为基础
|
||
- SAST 工具检测相关漏洞
|
||
- 代码审查关注常见问题
|
||
|
||
### Testing Phase
|
||
- DAST 工具模拟 Top Ten 攻击
|
||
- 渗透测试重点关注
|
||
- 自动化测试集成
|
||
|
||
### Operations Phase
|
||
- 监控 Top Ten 相关告警
|
||
- 漏洞扫描覆盖
|
||
- 补丁管理
|
||
|
||
## Related Concepts
|
||
- [[DevSecOps]] — OWASP Top Ten 是安全编码和测试的基础
|
||
- [[SAST]] — 检测代码中的 OWASP 问题
|
||
- [[DAST]] — 动态检测 OWASP 漏洞
|
||
- [[SCA]] — 检测易受攻击的组件
|
||
- [[Shift-Left-Security]] — 早期发现 OWASP 问题
|
||
|
||
## Resources
|
||
- OWASP 官网：https://owasp.org/www-project-top-ten/
|
||
- OWASP Cheat Sheets
|
||
- OWASP WebGoat（学习工具）
|
||
|
||
## Sources
|
||
- [[what-is-devsecops-best-practices-benefits-and-tools]]
|