对于一些安全行业的新词很用用户都不懂例如OWASP是一个什么概念的词汇,很多用户想要了解是什么意思,再者,很多人提及的OWASP top10指的是哪十项呢,接下来一起跟着小编来看看吧。
OWASP全称:Open Web Application Security Project,是一个开放式Web应用程序安全项目组织,旨在帮助计算机和互联网应用程序提供公正、实际、有成本效益的信息。
在信息安全中OWASP TOP 10 是渗透测试人员都会涉及到的一个项目,意思是10项最严重的Web 应用程序安全风险列表,该列表总结并更新Web应用程序中最可能、最常见、最危险的十大漏洞。
目前有3个版本OWASP Top 10 2021是最新的版本,2013和2017的是之前两个版本,之前两个版本大家可以看如下图所示。
接下来我们着重来介绍OWASP Top 10 2021最新版本:
A01:访问控制失效(Broken Access Control)从第五位上升到了第一位。94%的应用程序都经过了某种形式的访问控制失效测试。
映射到访问控制失效的34个CWE在应用程序中的出现频率比其他任何类别都要多。
A02:2021年,加密失败(Cryptographic Failure)——此前名为“敏感数据暴露”(Sensitive Data Exposure),这一名称只是描述了广泛的症状而非根本原因——上移到了榜单第二位。
此处需要重新关注与密码学相关的故障,这些故障通常会导致敏感数据暴露或系统受损。
A03:2021年,注入(Injection)下滑到第三位。94%的应用程序都测试了某种形式的注入,注入类别中如今包括跨站脚本。
映射到该类别的33个CWE在应用程序中出现次数第二多。
A04:不安全设计(Insecure Design)是2021年出现的新类别,并且一出场就高居第四位。
此处需要重点关注与设计缺陷相关的风险。如果我们真的想作为一个行业“左移”,就需要更多地使用威胁建模、安全设计模式和原则以及参考架构。
A05:2021年,安全配置错误(Security Misconfiguration)从上一版的第6位上升到了第5位。
90%的应用程序都经过了某种形式的错误配置测试,随着转向高度可配置软件的趋势不可逆,看到这一类别排名上升也就不足为奇了。
此前版本的XML外部实体注入(XXE)类别现在也被合并为该类别的一部分。
A06:2021年,脆弱过时组件(Vulnerable and Outdated Component)——此前名为“使用具有已知漏洞的组件”(Using Components with Known Vulnerabilities)——也从第6位一跃进入第6位。
该类别是唯一一个没有任何CVE映射到所含CWE的类别,因此默认的漏洞与影响权重计5.0分。
A07:2021年,识别与认证失败(Identification and Authentication Failure)——此前称为“身份验证失效”(Broken Authentication)——排名从此前的第2位降到了第7位,而且该类别目前包含更多与识别失败相关的CWE。
虽然该类别仍然位列Top 10榜单,但标准化框架的可用性增加似乎有助于解决这一问题。
A08:软件和数据完整性故障(Software and Data Integrity Failure)是2021年新增的一个类别,主要关注缺乏完整性验证情况下做出与软件更新、关键数据和持续集成/持续交付(CI/CD)流水线相关的各种假设。
CVE/CVSS数据最高加权影响之一映射到该类别中的10个CWE。此前版本中的“不安全反序列化”(Insecure Deserialization)类别如今也被归入这一更大类别。
A09:2021年,安全日志与监测失败(Security Logging and Monitoring Failure)——此前名为“日志记录和监控不足”(Insufficient Logging & Monitoring)——从最后一名上升至第9位。
而且该类别已扩展纳入了其他类型的故障,虽然这些故障难以测试,并且在CVE/CVSS 数据中没有得到很好的体现,但却会直接影响可见性、事件警报和取证。
A10:排在最后一位的服务器端请求伪造(Server-Side Request Forgery)是2021年新增的类别。
虽然数据显示其发生率相对较低,但测试覆盖率却高于平均水平,并且漏洞利用和影响潜力的评级也高于平均水平。
以上就是安全狗小编给各位安全用户介绍的OWASP是什么意思以及OWASP top10指的是哪些的全部内容,希望对用户有帮助,对于用户在安全方面的问题也可以联系技术支持在线获取帮助。