OWASP Top 10

Che Cos’è OWASP?

OWASP (Open Web Application Security Project) è un’organizzazione no-profit che lavora per migliorare la sicurezza del software a livello globale. I fondatori hanno stabilito OWASP nel 2001. Oggi, oltre 32.000 esperti di sicurezza volontari collaborano con OWASP in tutto il mondo. OWASP pubblica molte risorse per la sicurezza web, ma il progetto più conosciuto è l’OWASP Top 10. Pubblicato ogni pochi anni, l’OWASP Top 10 aumenta la consapevolezza sui rischi di sicurezza più critici per le applicazioni web.

Esaminiamo OWASP e perché è importante per tutte le organizzazioni che creano e utilizzano app web.

Perché l’OWASP Top 10 è Importante?

L’OWASP Top 10 classifica i rischi di sicurezza delle applicazioni web più seri. OWASP basa la lista sulla saggezza collettiva di una comunità globale di esperti di sicurezza.

La Top 10 considera diversi fattori per prioritizzare ogni rischio:

• Quanto è facile sfruttare la vulnerabilità
• Quanto è diffusa la vulnerabilità
• Gli impatti tecnici e commerciali dello sfruttare la vulnerabilità.

L’obiettivo è aiutare i professionisti della sicurezza e gli sviluppatori a comprendere i rischi più pressanti. Questo consente alle organizzazioni di prioritizzare i loro sforzi di sicurezza.

Molte organizzazioni trattano l’OWASP Top 10 come uno standard de facto per la sicurezza delle applicazioni. Lo usano come un elenco di controllo per valutare le loro pratiche di sicurezza. Anche gli auditor considerano la conformità all’OWASP Top 10 come un indicatore del fatto che l’organizzazione segue le migliori pratiche di sicurezza.

Aggiungere OWASP al processo di sviluppo del software può aiutare a ridurre i rischi di sicurezza. Aiuta a individuare e risolvere le vulnerabilità in anticipo.

OWASP Top 10 per il 2021

OWASP aggiorna la Top 10 ogni pochi anni per tenere il passo con l’evoluzione del panorama delle minacce. Ecco l’OWASP Top 10 per il 2021, in ordine di importanza:

1. Broken Access Control
2. Cryptographic Failures
3. Injection
4. Insecure Design
5. Security Misconfiguration
6. Vulnerable and Outdated Components
7. Identification and Authentication Failures
8. Software and Data Integrity Failures
9. Security Logging and Monitoring Failures
10. Server-Side Request Forgery

Abbiamo aggiunto tre nuove categorie nel 2021: Insecure Design, Software and Data Integrity Failures e Server-Side Request Forgery. L’attaccante ha utilizzato XXE e XSS insieme ad altri rischi, unendoli in una sola categoria.

Capire ogni rischio OWASP è fondamentale per costruire applicazioni più sicure.

Esempio: Broken Access Control

Immagina un’applicazione bancaria con un difetto nei suoi controlli di accesso. Il problema consente a chiunque di visualizzare i dettagli dell’account e la cronologia delle transazioni di qualcun altro modificando l’indirizzo web.

Questo è un esempio di broken access control – il rischio numero 1 nell’OWASP Top 10 per il 2021. Broken access control significa che gli utenti possono agire al di fuori delle loro autorizzazioni previste. Gli utenti regolari potrebbero accedere alle funzionalità degli amministratori, oppure gli amministratori potrebbero accedere ad altri account utente.

Per prevenire il broken access control:

• Negare l’accesso per default e consentire solo l’accesso autorizzato
• Far rispettare i controlli di accesso lato server
• Disabilitare l’elenco delle directory del server web
• Registrare i fallimenti nei controlli di accesso e allertare gli amministratori
• Limitare le chiamate API per mitigare gli attacchi automatizzati

Il broken access control è diffuso e può avere impatti gravi. OWASP ha trovato debolezze nei controlli di accesso nel 94% delle applicazioni. Molti sviluppatori spesso implementano male i controlli di accesso nel codice personalizzato. Utilizzare un framework ben collaudato può ridurre il rischio.

Dominare l’OWASP Top 10

Abbiamo esaminato l’importanza dell’OWASP Top 10 e approfondito un’area di rischio. Per costruire applicazioni veramente sicure, è fondamentale comprendere e mitigare tutti i rischi OWASP.

OWASP fornisce una guida dettagliata per ogni area di rischio. Questo comporta la spiegazione dei rischi, la fornitura di esempi, la dimostrazione di come prevenire le vulnerabilità e l’offerta di ulteriori risorse per maggiori informazioni. I team di sicurezza e gli sviluppatori dovrebbero studiare attentamente questa guida.

Includere l’OWASP nel SDLC è il modo migliore per migliorare la sicurezza delle app. Utilizzare l’OWASP Top 10 nella modellazione delle minacce, nelle revisioni del codice, nei test di sicurezza e nella formazione degli sviluppatori. Individuare e risolvere i rischi OWASP aiuterà a proteggere la tua organizzazione e i tuoi clienti.

L’OWASP Top 10 fornisce una guida su come minimizzare i rischi più critici delle applicazioni. Tuttavia, è importante notare che nessuna applicazione può essere completamente sicura. Renderlo una parte fondamentale del programma di sicurezza delle tue applicazioni. La tua organizzazione sarà in grado di costruire e distribuire applicazioni con maggiore velocità e fiducia.