Formation OWASP Top 10

Introduction

• Aperçu de l'OWASP, sa mission et son importance dans la sécurité web
• Explication de la liste OWASP Top 10
  • A01:2021-Control d'accès rompu passe de la cinquième à la première place ; 94 % des applications ont été testées pour une forme quelconque de contrôle d'accès rompu. Les 34 faiblesses communes (CWE) mappées au contrôle d'accès rompu ont eu plus d'occurrences dans les applications que toute autre catégorie.
  • A02:2021-Échecs cryptographiques monte à la deuxième place, précédemment connu sous le nom de Sensitive Data Exposure, qui était un symptôme large plutôt qu'une cause première. Le renouveau de l'attention se porte sur les échecs liés à la cryptographie qui conduisent souvent à une exposition de données sensibles ou à une compromission du système.
  • A03:2021-Injection glisse à la troisième place. 94 % des applications ont été testées pour une forme quelconque d'injection, et les 33 CWE mappés dans cette catégorie sont ceux qui ont eu le deuxième plus grand nombre d'occurrences dans les applications. Le Cross-Site Scripting fait maintenant partie de cette catégorie dans cette édition.
  • A04:2021-Conception insécurisée est une nouvelle catégorie pour 2021, avec un focus sur les risques liés aux failles de conception. Si nous voulons vraiment « avancer » dans l'industrie, il faut plus d'utilisation du modélisation des menaces, des motifs et principes de conception sécurisés, ainsi que des architectures de référence.
  • A05:2021-Mauvaise configuration de sécurité passe à la cinquième place, précédemment en sixième position ; 90 % des applications ont été testées pour une forme quelconque de mauvaise configuration. Avec plus de déplacements vers des logiciels hautement configurables, il n'est pas surprenant que cette catégorie monte. L'ancienne catégorie d'Entités externes XML (XXE) fait maintenant partie de cette catégorie.
  • A06:2021-Composants vulnérables et obsolètes était précédemment intitulé Utilisation de composants avec des vulnérabilités connues et est deuxième dans l'enquête communautaire Top 10, mais a également suffisamment de données pour entrer dans le Top 10 via l'analyse de données. Cette catégorie monte de la neuvième place en 2017 et est un problème connu que nous avons du mal à tester et évaluer les risques. C'est la seule catégorie qui n'a pas de vulnérabilités communes (CVE) mappées aux CWE inclus, donc des poids d'exploitation et d'impact par défaut de 5.0 sont pris en compte dans leurs scores.
  • A07:2021-Échecs d'identification et d'authentification était précédemment Broken Authentication et glisse de la deuxième place, et inclut maintenant des CWE plus liés aux échecs d'identification. Cette catégorie reste une partie intégrante du Top 10, mais la disponibilité accrue de frameworks standard semble aider.
  • A08:2021-Échecs d'intégrité logicielle et de données est une nouvelle catégorie pour 2021, se concentrant sur les hypothèses liées aux mises à jour logicielles, aux données critiques et aux pipelines CI/CD sans vérification de l'intégrité. Un des impacts les plus importants pondérés par les données Common Vulnerability and Exposures/Common Vulnerability Scoring System (CVE/CVSS) mappées aux 10 CWE de cette catégorie. La désérialisation non sécurisée de 2017 fait maintenant partie de cette catégorie plus large.
  • A09:2021-Échecs de journalisation et de surveillance de sécurité était précédemment Insufficient Logging & Monitoring et a été ajoutée par l'enquête de l'industrie (#3), passant de la dixième place. Cette catégorie est élargie pour inclure plus de types d'échecs, est difficile à tester et n'est pas bien représentée dans les données CVE/CVSS. Cependant, les échecs de cette catégorie peuvent directement impacter la visibilité, l'alerte d'incident et l'enquête.
  • A10:2021-Fausses requêtes côté serveur (SSRF) a été ajoutée par l'enquête communautaire Top 10 (#1). Les données montrent un taux d'incidence relativement faible avec une couverture de test au-dessus de la moyenne, ainsi que des notes supérieures pour le potentiel d'exploitation et d'impact. Cette catégorie représente le scénario où les membres de la communauté de sécurité nous disent que c'est important, même si cela n'est pas illustré par les données à ce moment.

Contrôle d'accès rompu

• Exemples pratiques de contrôles d'accès rompus
• Contrôles d'accès sécurisés et bonnes pratiques

Échecs cryptographiques

• Analyse détaillée des échecs cryptographiques tels que les algorithmes de chiffrement faibles ou une gestion incorrecte des clés
• Importance des mécanismes cryptographiques forts, des protocoles sécurisés (SSL/TLS) et exemples de cryptographie moderne dans la sécurité web

Attaques par injection

• Décomposition détaillée des injections SQL, NoSQL, OS et LDAP
• Techniques d'atténuation utilisant des instructions préparées, des requêtes paramétrées et l'échappement des entrées

Conception insécurisée

• Exploration des failles de conception qui peuvent conduire à des vulnérabilités, comme une validation incorrecte des entrées
• Stratégies pour une architecture et des principes de conception sécurisés

Mauvaise configuration de sécurité

• Exemples réels de mauvaises configurations
• Étapes pour prévenir les mauvaises configurations, y compris la gestion des configurations et les outils d'automatisation

Composants vulnérables et obsolètes

• Identification des risques liés à l'utilisation de bibliothèques et frameworks vulnérables
• Bonnes pratiques pour la gestion des dépendances et les mises à jour

Échecs d'identification et d'authentification

• Problèmes courants d'authentification
• Stratégies d'authentification sécurisées, comme l'authentification à deux facteurs et la gestion correcte des sessions

Échecs d'intégrité logicielle et de données

• Focus sur les problèmes comme les mises à jour non fiables et le contrefait des données
• Mécanismes de mise à jour sécurisés et vérifications d'intégrité des données

Échecs de journalisation et de surveillance de sécurité

• Importance de la journalisation des informations pertinentes à la sécurité et de la surveillance des activités suspectes
• Outils et pratiques pour une journalisation appropriée et une surveillance en temps réel afin de détecter les violations tôt

Fausses requêtes côté serveur (SSRF)

• Explication de la façon dont les attaquants exploitent les vulnérabilités SSRF pour accéder aux systèmes internes
• Tactiques d'atténuation, y compris une validation correcte des entrées et des configurations de pare-feu

Bonnes pratiques et codage sécurisé

• Discussion complète sur les bonnes pratiques pour le codage sécurisé
• Outils de détection des vulnérabilités

Résumé et étapes suivantes