Creare Applicazioni Sicure con l’OWASP Top 10
Che Cos’è l’OWASP?
OWASP (Open Web Application Security Project) è un’organizzazione no-profit che lavora per migliorare la sicurezza del software a livello globale. I fondatori hanno istituito OWASP nel 2001. Oggi oltre 32.000 esperti di sicurezza volontari collaborano con OWASP in tutto il mondo. OWASP pubblica molte risorse di sicurezza web, ma l’OWASP Top 10 è il suo progetto più noto. Pubblicato ogni pochi anni, l’OWASP Top 10 aumenta la consapevolezza sui rischi di sicurezza più critici per le applicazioni web.
Esaminiamo l’OWASP e perché è importante per tutte le organizzazioni che creano e utilizzano applicazioni web.
Perché l’OWASP Top 10 è Importante?
L’OWASP Top 10 classifica i rischi più seri della sicurezza delle applicazioni web. OWASP basa l’elenco sull’esperienza collettiva di una comunità globale di esperti di sicurezza.
Il Top 10 considera diversi fattori per dare priorità a ciascun rischio:
- Quanto è facile sfruttare la vulnerabilità
- Quanto è diffusa la vulnerabilità
- Sfruttare la vulnerabilità ha impatti tecnici e aziendali.
L’obiettivo è aiutare i professionisti della sicurezza e gli sviluppatori a comprendere i rischi più urgenti. Questo permette alle organizzazioni di dare priorità agli sforzi di sicurezza.
Molte organizzazioni trattano l’OWASP Top 10 come uno standard di sicurezza applicativa de facto. Lo usano come lista di controllo per valutare le loro pratiche di sicurezza. Gli auditor valutano anche la conformità all’OWASP Top 10 come indicatore di aderenza alle migliori pratiche di sicurezza.
Aggiungere l’OWASP al processo di sviluppo del software può aiutare a ridurre i rischi di sicurezza. Aiuta a individuare e correggere le vulnerabilità in anticipo.
L’OWASP Top 10 per il 2021
OWASP aggiorna il Top 10 ogni pochi anni per tenere il passo con l’evoluzione del panorama delle minacce. Ecco l’OWASP Top 10 per il 2021, in ordine di importanza:
- Broken Access Control
- Cryptographic Failures
- Injection
- Insecure Design
- Security Misconfiguration
- Vulnerable and Outdated Components
- Identification and Authentication Failures
- Software and Data Integrity Failures
- Security Logging and Monitoring Failures
- Server-Side Request Forgery
Abbiamo aggiunto tre nuove categorie nel 2021: Insecure Design, Software and Data Integrity Failures, e Server-Side Request Forgery. Gli attaccanti hanno utilizzato XXE e XSS insieme ad altri rischi, unendoli in un’unica categoria.
Comprendere ciascun rischio OWASP è fondamentale per costruire applicazioni più sicure.
Esempio: Broken Access Control
Immagini una applicazione bancaria con un problema nei suoi controlli di accesso. Il problema consente a chiunque di visualizzare i dettagli dell’account e lo storico delle transazioni di qualcun altro alterando l’indirizzo del sito web.
Questo è un esempio di broken access control – il rischio numero 1 nell’OWASP Top 10 per il 2021. Broken access control implica che gli utenti possono agire al di fuori delle loro autorizzazioni previste. Gli utenti normali potrebbero accedere alle funzionalità amministrative, o gli amministratori potrebbero accedere agli account di altri utenti.
Per prevenire il broken access control:
- Negare l’accesso per impostazione predefinita e consentire solo accessi autorizzati
- Applicare controlli di accesso lato server
- Disabilitare l’elenco delle directory del web server
- Registra i fallimenti del controllo di accesso e avvisare gli amministratori
- Limitare il numero di chiamate API per mitigare attacchi automatizzati
Il broken access control è prevalente e può avere impatti gravi. OWASP ha trovato vulnerabilità nei controlli di accesso nel 94% delle applicazioni. Molti sviluppatori spesso implementano male i controlli di accesso nel codice personalizzato. Utilizzare un framework ben collaudato può ridurre il rischio.
Dominare l’OWASP Top 10
Abbiamo esaminato l’importanza dell’OWASP Top 10 e analizzato un’area di rischio in profondità. Per costruire applicazioni veramente sicure, è fondamentale comprendere e mitigare tutti i rischi OWASP.
OWASP fornisce una guida dettagliata per ciascun area di rischio. Questo implica spiegare i rischi, dare esempi, mostrare come prevenire le vulnerabilità, e fornire risorse aggiuntive per ulteriori informazioni. I team di sicurezza e gli sviluppatori dovrebbero studiare attentamente questa guida.
Includere l’OWASP nel SDLC è il miglior modo per migliorare la sicurezza delle applicazioni. Sfruttare l’OWASP Top 10 nel threat modeling, code review, test di sicurezza, e formazione degli sviluppatori. Identificare e correggere i rischi OWASP aiuterà a proteggere la Sua organizzazione e i Suoi clienti.
L’OWASP Top 10 fornisce una guida su come minimizzare i rischi più critici nelle applicazioni. Tuttavia, è importante notare che nessuna applicazione può essere completamente sicura. Renda l’OWASP una parte centrale del Suo programma di sicurezza delle applicazioni. La Sua organizzazione sarà in grado di costruire e distribuire applicazioni con maggiore velocità e fiducia.
