TL;DR: የAppSec ፕሮግራምዎን ከOWASP ASVS ጋር በማነፃፀር መለኪያ ማድረግ
OWASP ASVS መለኪያ እንጂ የምስክር ወረቀት አይደለም። ዋጋው የሚወሰነው በእሱ ምን እንደሚለኩ እና አንድ ሰው ማመልከቻዎ የትኛውን ደረጃ እንደሚያሟላ ሲጠይቅዎት ማሳየት በሚችሉት ማስረጃ ላይ ነው።
- ምንም አይነት ኦፊሴላዊ የ OWASP ASVS የምስክር ወረቀት የለም። የደረጃ ጥያቄ ጠንካራ የሚሆነው ከኋላው ካለው ማረጋገጫ ጋር እኩል ነው፣ ለዚህም ነው ገዢዎች እና ኦዲተሮች እንዴት እንደተረጋገጡ እየጠየቁ ያሉት።
- ድርጅቶች በአራት ዋና ዋና መንገዶች ይጠቀማሉ፡ እንደ ደህንነቱ የተጠበቀ የልማት መነሻ፣ የፔንቴንት ወሰን፣ የግዥ መስፈርት እና ክፍተትን መሰረት ያደረገ የመንገድ ካርታ።
- ጉዲፈቻ የሚወሰነው በደህንነት እውቀት ላይ ሳይሆን በወሰን እና በባለቤትነት ላይ ነው። ብዙ መስፈርቶች ተፈጻሚ ላይሆኑ ወይም በሌላ ቡድን የተያዙ ሆነው ተገኝተዋል።
- ስሪት አስፈላጊ ነው። ASVS 5.0 በ2025 ደረጃዎቹን ቀይሯል፣ ስለዚህ እያንዳንዱ የይገባኛል ጥያቄ እና እያንዳንዱ ውል ለምሳሌ ስሪቱን መሰካት አለበት
v5.0.0. - የምትችለውን በራስ-ሰር አድርግ፣ የቀረውን አረጋግጥ። ከ OWASP ASVS መስፈርቶች መታወቂያዎች ጋር የተጣጣሙ የስካነር ግኝቶች የቤንችማርክ ሞገድ አካል ሆነው ይቀጥላሉ፤ የዲዛይን ግምገማዎች እና ሙከራዎች የቀረውን ይሸፍናሉ።
ሁሉም ማለት ይቻላል የAppSec ቡድን ስለ OWASP የመተግበሪያ ደህንነት ማረጋገጫ ሰምቷል Standard, OWASP ASVS በመባል የሚታወቀው። አፕሊኬሽኖቻቸው የትኛውን ደረጃ እንደሚያሟሉ መናገር ወይም ለኦዲተር ወይም ለደንበኛ ማረጋገጥ የሚችሉት በጣም ጥቂት ናቸው። ይህ ክፍተት OWASP ASVS ዋጋውን የሚያገኝበት ወይም የሚያጣበት ቦታ ነው።
ይህ ልጥፍ አያጠቃልልም standard፣ ምክንያቱም standard ይህንን በጥሩ ሁኔታ ያከናውናል። ድርጅቶች OWASP ASVSን እንዴት እንደሚጠቀሙ፣ ጉዲፈቻ ግጭትን የሚፈጥርበትን ቦታ፣ እንዴት እንደሆነ ይመለከታል። standard በ18 ዓመታት ውስጥ አድጎታል፣ እና የራስዎን ፕሮግራም ከእሱ ጋር እንዴት ማወዳደር እንደሚችሉ።
በአንድ አንቀጽ ውስጥ OWASP ASVS ምንድን ነው?
በ2008 የተጀመረው OWASP ASVS ለድር መተግበሪያዎች እና ኤፒአይዎች የደህንነት መስፈርቶች ካታሎግ ሲሆን እያንዳንዱም በተጨባጭ እንዲረጋገጥ ተጽፏል። መስፈርቶች በሦስት ድምር ደረጃዎች የተመደቡ ናቸው፣ ስለዚህ ጥረቱ ከመተግበሪያው ስጋት ጋር ይመሳሰላል። እንደ ISO 27001 ካሉ የድርጅት ደረጃ ማዕቀፎች በተለየ፣ OWASP ASVS ገንቢዎች፣ ሞካሪዎች እና ገዢዎች ሊጠቀሙባቸው በሚችሉት ተጨባጭ መስፈርቶች ደረጃ ይሰራል። የአሁኑ ስሪት፣ ASVS 5.0, በግንቦት 2025 በባርሴሎና በሚገኘው Global AppSec EU ላይ በቀጥታ ተለቋል።
18 ዓመታት በብስለት መሰላል ላይ
OWASP ASVS ከ2008 ጀምሮ ብዙ ተለውጧል። ስሪት 4.0 (2019) እንደገና ተዋቅሯል standard በደረጃ ደረጃ ሞዴል ዙሪያ፣ እና 4.0.3 (2021) ለዓመታት የተጠቀሱ የስሪት ግዥ ቡድኖች ሆነዋል። ASVS 5.0 ዘመናዊ አድርጎታል፡ በ17 ምዕራፎች ውስጥ ወደ 350 የሚጠጉ መስፈርቶች፣ የመግቢያ እንቅፋትን ለመቀነስ የተነደፈ የተሳለጠ ደረጃ 1፣ በድር የፊት ለፊት ደህንነት እና በራስ-ሰር የተያዙ ቶከኖች ላይ አዳዲስ ምዕራፎች እና የተወሰነ ድር ጣቢያ።
በእነዚያ 18 ዓመታት ውስጥ ያለው አሠራር ግልጽ ነው፡- የ standard ከተቀበለው በበለጠ ፍጥነት አድጓል። ብዙ ድርጅቶች አሁንም በውል እና በኦዲት ውስጥ የ4.x መስፈርቶችን ያመላክታሉ፣ መስፈርቶቹ እራሳቸው ግን ተሻሽለዋል።
የ OWASP ASVSን የሚጠቀመው ማነው፣ እና ለምን?
አምስት እውነተኛ አጠቃቀሞች፣ እያንዳንዳቸው የሚያቀርቡት እና የሚበላሹበት ቦታ።
| ጥቅም | ማን ይጠቀምበታል። | የሚያቀርበው | የት እንደሚፈርስ |
|---|---|---|---|
| ደህንነቱ የተጠበቀ የልማት መነሻ | ገንቢዎች እና አርክቴክቶች | እንደ ተቀባይነት መስፈርት ሊያገለግል የሚችል "በቂ ደህንነቱ የተጠበቀ" የሚል ተጨባጭ ፍቺ | በመቶዎች የሚቆጠሩ መስፈርቶች፣ ብዙዎቹ ተፈጻሚ የማይሆኑ ወይም በሌላ ቡድን የተያዙ ናቸው |
| የፔንቴስት እና የኦዲት ስኮፕ | ሞካሪዎች እና ኦዲተሮች | ግኝቶችን ከሚያስፈልጉ መታወቂያዎች ጋር የሚያዛምዱ እና ሽፋን የሚያሳዩ ሪፖርቶች፣ የሳንካዎች ዝርዝር ብቻ ሳይሆን | ስኮፕ ደረጃውንም ሆነ ስሪቱን ካላያያዘ በስተቀር ውጤቶቹ ሊወዳደሩ አይችሉም |
| ግዥ እና ኮንትራቶች | የገዢዎች እና የሻጮች የአደጋ ቡድኖች | በ RFPs እና በኮንትራቶች ውስጥ ግልጽ የሆነ እገዳ፡ "የቀረበው ስርዓት የ ASVS ደረጃ 2ን ያሟላል" | ኦፊሴላዊ የምስክር ወረቀት የለም፣ ስለዚህ ገዢው የሚቀበለውን ማስረጃ መግለጽ አለበት |
| የጂአርሲ እና የተገዢነት ማስረጃዎች | ተገዢ ቡድኖች | ለኦዲት ዝግጅት እንደ ISO 27001 እና PCI DSS ካሉ ማዕቀፎች ጋር ማዛመድ | ብዙውን ጊዜ ቴክኒካዊ ሆኖ ይቆያል standard የGRC መሳሪያዎች አይከታተሉም |
| የክፍተት ትንተና እና የመንገድ ካርታ | የAppSec መሪዎች | በደረጃ ሊዘጋ የሚችል ደረጃ ላይ የተመሠረተ የክፍተት ዝርዝር | እንደ ኮዱ እና እንደ ኮዱ እንደገና ካልተረጋገጠ በስተቀር በፍጥነት ይቆማል standard ለዉጥ |
ተቀባይነት ያገኘበት ቦታ ግጭት ይፈጥራል
የ OWASP ASVS ጉዲፈቻ በጣም ጠቃሚ ዘገባዎች የተገኙት በዚህ ውስጥ ካለፉ ቡድኖች ነው። አንድ ዝርዝር ምሳሌ የሶፍትዌርሚል ሪፖርት ነው። የ ASVS ደረጃ 2ን በነባር ስርዓት ውስጥ መተግበርበኩበርኔቴስ ላይ የሚገኝ የጎለመሰ ማይክሮ ሰርቪስ መድረክ። አራት ትምህርቶች ጎልተው ይታያሉ፣ እና በኢንዱስትሪው ውስጥ ከምናየው ጋር ይዛመዳሉ።
በመጨረሻ ምንም የምስክር ወረቀት የለም። OWASP የASVS ደረጃዎችን አያረጋግጥም። በዚያ ፕሮጀክት ውስጥ፣ ማረጋገጫ በየዓመቱ በሚደገም የራስ-ግምገማ ወረቀት ላይ የተመሠረተ የውስጥ ኦዲት እና የመግባት ሙከራን አጣምሮ ያቀርባል። ማንኛውም “OWASP ASVS ደረጃ 2” የይገባኛል ጥያቄ ስለ ማረጋገጫ ሂደት መግለጫ ነው፣ እና ገዢዎች ስለ ሂደቱ መጠየቅን እየተማሩ ነው።
ስኮፕ ከደህንነት ይልቅ ብዙ ስራን ይጠይቃል። ቡድኑ ከገመገማቸው 267 የደረጃ 2 መስፈርቶች ውስጥ ከግማሽ በላይ የሚሆኑት ቀድሞውኑ ተሟልተው የነበረ ሲሆን 80ዎቹም ተፈጻሚ አልነበሩም። አንዳንድ መስፈርቶች የቡድኑ አካል አልነበሩም፤ ማንነት የሚተዳደረው በሌላ ውስጣዊ ቡድን ሲሆን የራሱን የASVS ቼክ ማለፍ ነበረበት። የASVS ደረጃ የአንድ ስርዓት አካል ሲሆን ስርዓቶች ደግሞ የቡድን ወሰኖችን ያቋርጣሉ።
የስሪቶች ተንሸራታች። በ4.0.3 እና 5.0 መካከል፣ አንዳንድ መስፈርቶች በደረጃዎች መካከል ተንቀሳቅሰዋል። ቡድኑ በአዲሱ ስሪት ውስጥ ከደረጃ 1 ወደ ደረጃ 3 የተዛወረ አንድ የJSON ማረጋገጫ መስፈርት። የስሪቱን የማያጣምር መለኪያ ከሚንቀሳቀስ ኢላማ ጋር ይለካል።
የጂአርሲ ጥያቄ አሁንም ክፍት ነው። OWASP ASVS በውል ውስጥ እንዲሠራ የተነደፈ ነው፡ ገዢው የሚፈለገውን ደረጃ ያስቀምጣል እና ሻጩ ሶፍትዌሩ እንደሚያሟላ ያረጋግጣል። በተግባር ግን፣ ብዙ ድርጅቶች አሁንም OWASP ASVSን በዋናነት እንደ ምህንድስና እና የሙከራ መሳሪያ ይጠቀማሉ። የተገዢነት ቡድኖች ወደ ሰፋፊ ማዕቀፎች ያዛምዱታል፣ ነገር ግን በአስፈላጊ መታወቂያ እና በሚያረጋግጠው ማስረጃ መካከል ያለው ግንኙነት ብዙውን ጊዜ በእጅ የሚሰራ ሲሆን ይህም ቀጣይነት ያለው ሪፖርት ማድረግን ከባድ ያደርገዋል።
የAppSec ፕሮግራምዎን ከ OWASP ASVS ጋር እንዴት ማወዳደር እንደሚቻል
ተግባራዊ መለኪያ በ1.1.1 መስፈርት አይጀምርም። የሚጀምረው በዴ ነው።cisስለ ስኮፕ አየኖች።
- መተግበሪያዎችዎን ደረጃ ይስጡ እና የዒላማ ደረጃ ይመድቡ። ደረጃ 1 ለሁሉም ነገር እንደ መነሻ፣ ደረጃ 2 ሚስጥራዊ መረጃዎችን ለሚያስተናግዱ አፕሊኬሽኖች፣ ደረጃ 3 ለወሳኝ ስርዓቶች ብቻ።
- ስሪቱን ፒን ያድርጉ። ከ v5.0.0 ጋር ሲነጻጸር መለኪያ ምልክት ያድርጉበት እና የአስፈላጊ መታወቂያዎችን ከእሱ ጋር ይጥቀሱ፣ ስለዚህ ውጤቶቹ ከጊዜ ወደ ጊዜ ተመሳሳይ ሆነው ይቆያሉ።
- ከመቆጠርህ በፊት ወሰን ፍጠር። መስፈርቶቹን በጽሑፍ ምክንያት እንደማይተገበሩ ምልክት ያድርጉባቸው፣ እና የቡድን ወሰኖችን የሚያልፍ ለእያንዳንዱ መስፈርት ባለቤት ይጥቀሱ።
- የሚረጋገጠውን ንብርብር በራስ-ሰር ያውጡ። የካርታ ስካነር ግኝቶች (ኮድ፣ መሠረተ ልማት እንደ ኮድ፣ pipelines) ወደ OWASP ASVS የፍላጎት መታወቂያዎች፣ ስለዚህ በየዓመቱ አንድ ጊዜ ከመቃኘት ይልቅ በእያንዳንዱ ቅኝት የሚደረጉ የቤንችማርክ ዝመናዎች አካል።
- የቀረውን በእጅ ያረጋግጡ። አርክቴክቸር፣ የንግድ ሎጂክ እና የሂደት መስፈርቶች የዲዛይን ግምገማዎች፣ የስጋት ሞዴሊንግ እና ሙከራ ያስፈልጋቸዋል።
- ክፍተቶቹን ወደ ደረጃ በደረጃ የተደረደረ የመንገድ ካርታ ይቀይሩ። የግለሰብ አፕሊኬሽኖችን ወደ ደረጃ 2 ከማስገባትዎ በፊት በጠቅላላው ፖርትፎሊዮ ውስጥ ያሉትን የደረጃ 1 ክፍተቶች ይዝጉ።
- በጊዜ ሰሌዳው ላይ እና ከዋና ዋና ለውጦች በኋላ እንደገና ያረጋግጡ። ዓመታዊ ማረጋገጫ ዝቅተኛው የተለመደ ነው። ከመሳሪያዎችዎ የሚቀርቡ ቀጣይነት ያላቸው ማስረጃዎች አመታዊ ግምገማውን በጣም አጭር ያደርጉታል።
ከመተግበሪያው ባሻገር፡ ASVS እና SPVS
OWASP ASVS አፕሊኬሽኑን ይሸፍናል። አፕሊኬሽኑን አይሸፍንም። pipeline የሚገነባውና የሚላከው፣ እና ብዙዎቹ በጣም ጎጂ የሆኑ የአቅርቦት ሰንሰለት ጥቃቶች አሁን የሚወድቁት እዚያ ነው። ያ ክፍተት የሚፈጠረው OWASP ደህንነቱ የተጠበቀ Pipeline ማረጋገጫ Standard (SPVS) አድራሻዎች፡ በጥቅምት 2025 ወደ ስሪት 1.0 የደረሰ እቅድ፣ ልማት፣ ውህደት፣ ልቀት እና አሠራር ላይ የተመሠረተ የብስለት ላይ የተመሠረተ የቁጥጥር ስብስብ።
ሁለቱ standardዎች እንደ ጥንድ ሆነው ይሰራሉ፡- እርስዎ ለሚገነቡት ነገር ASVS፣ እንዴት እንደሚገነቡት SPVS።
Xygeni ግኝቶችን ከ OWASP ASVS ጋር እንዴት እንደሚያዛምድ
OWASP ASVS ከሚከተሉት ውስጥ አንዱ ነው standardዢጄኒ ከSPVS ጎን ለጎን በአብዛኛዎቹ ላይ ያተኩራል። SAST, IaC ና CI/CD መመርመሪያዎች እያንዳንዱ ሰው የሚፈልገውን የ ASVS መስፈርት ያሟላሉ። ይህ ግኝት ምን ማለት እንደሆነ ይለውጣል፡ ከእንግዲህ “በዚህ ፋይል ውስጥ ያለ ችግር” ብቻ አይደለም፣ በእርስዎ መለኪያ ውስጥ ላለ የተወሰነ መስፈርት ወይም ተቃራኒ ማስረጃ ነው።
እነዚያ ግኝቶች ወደ ውስጥ ይገባሉ Xygeni ASPMከቀሪው የክምችትዎ ግኝቶች ጋር ቅድሚያ የሚሰጣቸው ቦታ። Pipeline የተገኙ ግኝቶች ከ ዚጌኒ CI/CD መያዣ ና IaC ቼኮች ተመሳሳይ አመክንዮ ከኮዱ ባሻገር ያስፋፉ። የመሳሪያ ማስረጃዎችዎ የትኞቹን መስፈርቶች ማወቅ በእርግጥ ሰው በሚያስፈልጋቸው ላይ በእጅ ግምገማ እንዲያደርጉ ያስችልዎታል።
ግኝቶችዎን ከ OWASP ASVS መስፈርቶች ጋር የተጣጣሙ ይመልከቱ
በዓመት አንድ ጊዜ የሚዘምን መለኪያ ያለፈውን ዓመት ማመልከቻ ይገልጻል። ማሳያ አሳይ የXygeni ካርታ ለማየት SAST, IaC, እና CI/CD የ OWASP ASVS መስፈርቶች ግኝቶች፣ ወይም በነፃ ይጀምሩ እና ዛሬውኑ የመጀመሪያዎቹን ማከማቻዎችዎን ይቃኙ።
በየጥ
ኦፊሴላዊ የ OWASP ASVS የምስክር ወረቀት አለ?
አይ። OWASP የASVS ደረጃዎችን አያረጋግጥም። ድርጅቶች የሚያረጋግጧቸው በinternet ሙከራ፣ በኦዲት እና በራስ ግምገማ ነው፣ ስለዚህ ከደረጃ የይገባኛል ጥያቄ በስተጀርባ ያለው ማስረጃ እንደ የይገባኛል ጥያቄው ሁሉ አስፈላጊ ነው።
በ ASVS 5.0 ላይ ምን ለውጥ ተደረገ?
በግንቦት 2025 የተለቀቀው ስሪት 5.0 በ17 ምዕራፎች ውስጥ ወደ 350 የሚጠጉ መስፈርቶች፣ የተሳለጠ ደረጃ 1፣ እንደ የድር የፊት ለፊት ደህንነት ያሉ አዳዲስ ምዕራፎች እና ስለ ክሪፕቶግራፊ እና ማረጋገጫ የተዘመኑ መመሪያዎች አሉት።
ማመልከቻዬ የትኛውን የ OWASP ASVS ደረጃ ኢላማ ማድረግ አለበት?
ደረጃ 1 ለማንኛውም መተግበሪያ መነሻ ነው፣ ደረጃ 2 ሚስጥራዊ መረጃዎችን ለሚያስተናግዱ አብዛኛዎቹ የንግድ መተግበሪያዎች ተስማሚ ነው፣ ደረጃ 3 ደግሞ ጥሰት ከባድ መዘዝ ሊያስከትል ለሚችልባቸው ወሳኝ ስርዓቶች ነው።
በ OWASP ASVS እና SPVS መካከል ያለው ልዩነት ምንድን ነው?
OWASP ASVS ለመተግበሪያው ራሱ የደህንነት መስፈርቶችን ይገልፃል። SPVS ለሚከተሉት ሊረጋገጡ የሚችሉ መቆጣጠሪያዎችን ይገልፃል pipeline የሚገነባው፣ የሚፈትነው እና የሚያቀርበው።
