2021 OWASP Top 10 Lightboard-Unterrichtsvideoserie

John erklärt zunächst, was die OWASP Top 10 sind. Er beleuchtet Themen wie die Neuausrichtung des Risikos anhand von Symptomen und Grundursachen, neue Risikokategorien und moderne Anwendungsarchitekturen. Sehen Sie sich im Folgenden ein Video zu jedem der zehn größten Risiken an.

94 % der getesteten Apps wiesen eine Form fehlerhafter Zugriffskontrolle auf. Fehler können zu einer unbefugten Offenlegung, Änderung oder Zerstörung von Daten und zu einer Ausweitung von Privilegien führen – und zu einer Kontoübernahme (ATO), Datenmissbrauch, Geldstrafen und Markenschäden.

Kryptografische Fehler, früher bekannt als „Sensitive Data Exposure“, führen zur Offenlegung sensibler Daten und zur Entführung von Benutzersitzungen. Trotz der weit verbreiteten Einführung von TLS 1.3 werden immer noch alte und anfällige Protokolle aktiviert.

Injektion ist eine breite Klasse von Angriffsvektoren, bei denen nicht vertrauenswürdige Eingaben die Ausführung von App-Programmen verändern. Dies kann zu Datendiebstahl, Verlust der Datenintegrität, Dienstverweigerung und vollständiger Systemgefährdung führen. Das größte Risiko stellen Injektionen zwar nicht mehr dar, sind aber immer noch beträchtlich.

Sicherheit muss den Anwendungen inhärent sein. Auch ein sicheres Design kann Implementierungsfehler aufweisen, die zu Schwachstellen führen. Ein unsicheres Design kann nicht durch eine perfekte Implementierung behoben werden.

Eine der Hauptursachen für Cloud-Sicherheitsverletzungen sind Fehlkonfigurationen der Sicherheit. Informieren Sie sich über die Vorgehensweise und Vermeidung, da dieses Risiko durch die moderne App-Entwicklung, die Wiederverwendung von Software und die Ausbreitung der Architektur über mehrere Clouds hinweg noch erhöht wird.

Viele der größten Sicherheitsvorfälle beruhen auf Exploits in Open-Source-Software. Die jüngste Sicherheitslücke in Log4j2 stellt möglicherweise das bislang schwerwiegendste Risiko in dieser Kategorie dar.

Es ist wichtig, die Identität zu bestätigen und eine starke Authentifizierung und Sitzungsverwaltung zu verwenden, um vor Missbrauch der Geschäftslogik zu schützen. Die meisten Authentifizierungsangriffe sind auf die fortgesetzte Verwendung von Passwörtern zurückzuführen. Kompromittierte Anmeldeinformationen, Botnetze und hochentwickelte Tools bieten einen attraktiven ROI für automatisierte Angriffe wie Credential Stuffing.

Diese neue Risikokategorie konzentriert sich auf das Treffen von Annahmen in Bezug auf Softwareupdates, kritische Daten und CI/CD-Pipelines ohne Überprüfung der Integrität. Der Angriff auf die Lieferkette von SolarWinds ist einer der verheerendsten, den wir je erlebt haben.