Curs de pregatire OWASP Top 10 2025

A01:2025 - Broken Access Control
A02:2025 - Security Misconfiguration
A03:2025 - Software Supply Chain Failures
A04:2025 - Cryptographic Failures
A05:2025 - Injection
A06:2025 - Insecure Design
A07:2025 - Authentication Failures
A08:2025 - Software or Data Integrity Failures
A09:2025 - Security Logging and Alerting Failures
A10:2025 - Mishandling of Exceptional Conditions

A01:2025 Broken Access Control - Controlul accesului impune o politică astfel încât utilizatorii să nu poată acționa în afara permisiunilor lor intenționate. Eșecurile duc de obicei la dezvăluirea neautorizată a informațiilor, la modificarea sau distrugerea tuturor datelor, sau la executarea unei funcții de afaceri în afara limitelor utilizatorului.

A02:2025 Security Misconfiguration - Security misconfiguration apare atunci când un sistem, o aplicație sau un serviciu cloud este configurat incorect din punct de vedere al securității, creând vulnerabilități.

A03:2025 Software Supply Chain Failures - Software supply chain failures sunt defecțiuni sau alte compromiteri în procesul de construire, distribuire sau actualizare a software-ului. Ele sunt adesea cauzate de vulnerabilități sau modificări malițioase în codul, uneltele sau alte dependențe de la terți pe care se bazează sistemul.

A04:2025 Cryptographic Failures - În general, toate datele în tranzit ar trebui criptate la transportul stratului (OSI strat 4). Barierele anterioare, cum ar fi performanța CPU și managementul cheilor private/certificatelor, sunt acum gestionate de CPU-uri cu instrucțiuni concepute pentru a accelera criptarea (ex: suport AES) și de simplificarea managementului cheilor private și a certificatelor prin servicii precum LetsEncrypt.org, iar majoritatea furnizorilor de cloud oferă servicii de management a certificatelor integrate și mai strâns pentru platformele lor specifice. Pe lângă securizarea stratului de transport, este important să determinezi ce date necesită criptare în repaus și ce date necesită criptare suplimentară în tranzit (la stratul de aplicație, OSI strat 7). De exemplu, parolele, numerele de carduri de credit, înregistrările de sănătate, informațiile personale și secretele de afaceri necesită protecție suplimentară, mai ales dacă acele date intră sub incidența legilor privind confidențialitatea, de ex. Regulamentul General privind Protecția Datelor (GDPR) al UE, sau reglementări precum PCI Data Security Standard (PCI DSS).

A05:2025 Injection - O vulnerabilitate de injection este o defecțiune a sistemului care permite unui atacator să insereze cod malițios sau comenzi (cum ar fi cod SQL sau shell) în câmpurile de intrare ale unui program, înșelând sistemul să execute codul sau comenzile ca și cum ar fi parte din sistem. Acest lucru poate duce la consecințe cu adevărat grave.

A06:2025 Insecure Design - Insecure design este o categorie largă care reprezintă diferite slăbiciuni, exprimate ca „design de control lipsă sau ineficace”. Insecure design nu este sursa tuturor celorlalte categorii de riscuri din Top Ten. Reține că există o diferență între insecure design și insecure implementation. Diferențiem între defecțiuni de design și defecțiuni de implementare dintr-un motiv anume: au cauze rădăcină diferite, apar în momente diferite în procesul de dezvoltare și au remedieri diferite. Un design securizat poate avea în continuare defecțiuni de implementare care duc la vulnerabilități care pot fi exploatate. Un design nesigur nu poate fi reparat printr-o implementare perfectă, deoarece controalele de securitate necesare nu au fost niciodată create pentru a se apăra împotriva atacurilor specifice. Unul dintre factorii care contribuie la insecure design este lipsa profilării riscului de afaceri intrinsec software-ului sau sistemului dezvoltat și, prin urmare, eșecul de a determina nivelul necesar de design de securitate.

A07:2025 Authentication Failures - Atunci când un atacator poate înșela un sistem să recunoască un utilizator invalid sau incorect ca legitim, această vulnerabilitate este prezentă.

A08:2025 Software or Data Integrity Failures - Eșecurile de integritate a software-ului și datelor se referă la codul și infrastructura care nu se protejează împotriva codului sau datelor invalide sau de încredere care sunt tratate ca încredibile și valide. Un exemplu de acest fel este atunci când o aplicație se bazează pe plugin-uri, biblioteci sau module de la surse nefiabile, de pe repositoare sau rețele de distribuire a conținutului (CDN). Un pipeline CI/CD nesigur, care nu consumă și nu oferă verificări de integritate a software-ului, poate introduce potențialul pentru acces neautorizat, cod nesigur sau malițios, sau compromiterea sistemului. Un alt exemplu pentru acest lucru este un CI/CD care preia cod sau artefacte de la locuri nefiabile și/sau nu le verifică înainte de utilizare (prin verificarea semnăturii sau mecanism similar).

A09:2025 Security Logging & Alerting Failures - Fără logging și monitoring, atacurile și încălcările nu pot fi detectate, iar fără alerting este foarte dificil să răspunzi rapid și eficient în timpul unui incident de securitate. Logging insuficient, monitorizare continuă, detecție și alerting pentru inițierea răspunsurilor active apar orice dată

A10:2025 Mishandling of Exceptional Conditions - Gestionarea defectuoasă a condițiilor excepționale în software apare atunci când programele eșuează să prevină, să detecteze și să răspundă la situații neobișnuite și neprevăzute, ceea ce duce la crăpări, comportament neașteptat și, uneori, vulnerabilități. Acest lucru poate implica una sau mai multe dintre următoarele 3 defecțiuni: aplicația nu previne apariția unei situații neobișnuite, nu identifică situația pe măsură ce se întâmplă și/sau răspunde slab sau deloc la situația respectivă ulterior.

Vom discuta și vom prezenta aspecte practice ale:

Broken Access Control
- Exemple practice de broken access controls
- Controale de acces securizate și bune practici

Security Misconfiguration
- Exemple din lumea reală de misconfigurations
- Pași pentru a preveni misconfiguration-ul, inclusiv instrumente de management al configurației și automatizare

Cryptographic Failures
- Analiză detaliată a eșecurilor criptografice, cum ar fi algoritmi de criptare slabi sau management incorect al cheilor
- Importanța mecanismelor criptografice robuste, a protocolurilor securizate (SSL/TLS) și exemple de criptare modernă în securitatea web

Injection Attacks
- Defalcare detaliată a injecției SQL, NoSQL, OS și LDAP
- Tehnici de mitigare folosind declarații pregătite, interogări parametrizate și escaping-ul intrărilor

Insecure Design
- Vom explora defecțiuni de design care pot duce la vulnerabilități, precum validarea incorectă a intrărilor
- Vom studia strategii pentru arhitectura securizată și principiile de design securizat

Authentication Failures
- Probleme comune de autentificare
- Strategii de autentificare securizate, precum autentificarea multifactor și gestionarea corespunzătoare a sesiunilor

Software and Data Integrity Failures
- Accent pe probleme precum actualizări de software nefiabile și tamperarea datelor
- Mecanisme de actualizare în siguranță și verificări de integritate a datelor

Security Logging and Monitoring Failures
- Importanța logării informațiilor relevante pentru securitate și monitorizarea activităților suspecte
- Instrumente și practici pentru logging corespunzător și monitorizare în timp real pentru a detecta încălcările timpuriu