OWASP Top 10

Qu’est-ce que l’OWASP ?

OWASP (Open Web Application Security Project) est une organisation à but non lucratif qui travaille à améliorer la sécurité des logiciels dans le monde entier. Les fondateurs ont créé l’OWASP en 2001. Aujourd’hui, plus de 32 000 experts en sécurité bénévoles participent à l’OWASP à travers le globe. L’OWASP publie de nombreuses ressources sur la sécurité web, mais le Top 10 de l’OWASP est son projet le plus connu. Publié tous les quelques années, le Top 10 de l’OWASP sensibilise aux risques de sécurité les plus critiques pour les applications web.

Examinons l’OWASP et pourquoi il est important pour toutes les organisations créant et utilisant des applications web.

Pourquoi le Top 10 de l’OWASP est-il important ?

Le Top 10 de l’OWASP classe les risques de sécurité des applications web les plus graves. L’OWASP base la liste sur la sagesse collective d’une communauté mondiale d’experts en sécurité.

Le Top 10 prend en compte plusieurs facteurs pour prioriser chaque risque :

La facilité d’exploitation de la vulnérabilité
La généralisation de la vulnérabilité
Les impacts techniques et commerciaux de l’exploitation de la vulnérabilité.

L’objectif est d’aider les professionnels de la sécurité et les développeurs à comprendre les risques les plus pressants. Cela permet aux organisations de prioriser leurs efforts de sécurité.

De nombreuses organisations considèrent le Top 10 de l’OWASP comme une norme de facto pour la sécurité des applications. Elles l’utilisent comme une liste de contrôle pour évaluer leurs pratiques de sécurité. Les auditeurs examinent également la conformité au Top 10 de l’OWASP comme un indicateur de l’adhésion de l’organisation aux meilleures pratiques de sécurité.

L’ajout de l’OWASP au processus de développement logiciel peut aider à réduire les risques de sécurité. Il aide à identifier et à corriger les vulnérabilités tôt.

Le Top 10 de l’OWASP pour 2021

L’OWASP met à jour le Top 10 tous les quelques années pour suivre l’évolution du paysage des menaces. Voici les Top 10 de l’OWASP pour 2021, par ordre d’importance :

Contrôle d’accès cassé
Défaillances cryptographiques
Injection
Conception non sécurisée
Mauvaise configuration de la sécurité
Composants vulnérables et obsolètes
Échecs d’identification et d’authentification
Échecs d’intégrité logicielle et des données
Échecs de journalisation et de surveillance de la sécurité
Falsification de requêtes côté serveur

Nous avons ajouté trois nouvelles catégories en 2021 : Conception non sécurisée, Échecs d’intégrité logicielle et des données, et Falsification de requêtes côté serveur. L’attaquant a utilisé XXE et XSS conjointement avec d’autres risques, les fusionnant en une seule catégorie.

Comprendre chaque risque de l’OWASP est essentiel pour créer des applications plus sécurisées.

Exemple : Contrôle d’accès cassé

Imaginez une application bancaire avec une faille dans ses contrôles d’accès. Le problème permet à quiconque de voir les détails du compte et l’historique des transactions d’une autre personne en modifiant l’adresse du site web.

C’est un exemple de contrôle d’accès cassé – le risque n°1 dans le Top 10 de l’OWASP pour 2021. Un contrôle d’accès cassé signifie que les utilisateurs peuvent agir en dehors de leurs permissions prévues. Les utilisateurs réguliers peuvent accéder aux fonctionnalités administratives, ou les administrateurs peuvent accéder aux comptes d’autres utilisateurs.

Pour prévenir le contrôle d’accès cassé :

Nier l’accès par défaut et n’autoriser que l’accès autorisé
Appliquer des vérifications de contrôle d’accès côté serveur
Désactiver la liste des répertoires du serveur web
Journaliser les échecs de contrôle d’accès et alerter les administrateurs
Limiter le nombre d’appels API pour atténuer les attaques automatisées

Le contrôle d’accès cassé est répandu et peut avoir des impacts sévères. L’OWASP a trouvé des faiblesses de contrôle d’accès dans 94% des applications. De nombreux développeurs implémentent souvent mal le contrôle d’accès dans le code personnalisé. Utiliser un cadre bien vérifié peut réduire le risque.

Maîtriser le Top 10 de l’OWASP

Nous avons examiné l’importance du Top 10 de l’OWASP et étudié en profondeur un domaine de risque. Pour créer des applications vraiment sécurisées, il est essentiel de comprendre et d’atténuer tous les risques de l’OWASP.

L’OWASP fournit des conseils détaillés pour chaque domaine de risque. Cela inclut l’explication des risques, la fourniture d’exemples, la démonstration de la prévention des vulnérabilités et l’offre de ressources supplémentaires pour plus d’informations. Les équipes de sécurité et les développeurs doivent étudier ces conseils attentivement.

Inclure l’OWASP dans le SDLC est la meilleure façon d’améliorer la sécurité des applications. Exploitez le Top 10 de l’OWASP dans la modélisation des menaces, les revues de code, les tests de sécurité et la formation des développeurs. Identifier et corriger les risques de l’OWASP aidera à protéger votre organisation et vos clients.

Le Top 10 de l’OWASP fournit des conseils pour minimiser les risques les plus critiques dans les applications. Cependant, il est important de noter qu’aucune application ne peut être entièrement sécurisée. Faites-en une partie centrale de votre programme de sécurité des applications. Votre organisation pourra créer et déployer des applications avec plus de rapidité et de confiance.