OWASP Top 10 በጣም ወሳኝ የሆኑ የድር መተግበሪያ የደህንነት ስጋቶችን ለመለየት እና ለመቀነስ በስፋት ጥቅም ላይ ከሚውሉት የመተግበሪያ ደህንነት ማጣቀሻዎች አንዱ ነው። ይህ መመሪያ የ OWASP Top 10 አደጋዎችን፣ የእውነተኛ ዓለም ምሳሌዎችን፣ የማስተካከያ ምርጥ ልምዶችን እና ዘመናዊ AppSec እና እንዴት እንደሚተገበሩ ያብራራል። software supply chain security መፍትሄዎች ድርጅቶች በሁሉም አካባቢዎች አደጋዎችን ለመቀነስ ይረዳሉ SDLC.
የክፍት ድር መተግበሪያ ደህንነት ፕሮጀክት (OWASP)
የክፍት ድር መተግበሪያ ደህንነት ፕሮጀክት (OWASP) የሶፍትዌር ደህንነትን ለማሻሻል የተተኮረ ግንባር ቀደም ለትርፍ ያልተቋቋመ ድርጅት ነው። OWASP በግልጽነቱ እና በግልጽነቱ ይታወቃል። commitበማህበረሰብ ላይ የተመሰረቱ መፍትሄዎችን በማካተት፣ ይህም ለገንቢዎች፣ ለደህንነት ባለሙያዎች እና ምርጥ የደህንነት ልምዶችን ለመቀበል ለሚፈልጉ ድርጅቶች ተመራጭ ምንጭ አድርጎታል። ከብዙ አስተዋፅዖዎቹ መካከል፣ በጣም ጉልህ ከሆኑት አንዱ ዘመናዊ መተግበሪያዎችን የሚነኩ በጣም ወሳኝ የድር መተግበሪያ የደህንነት አደጋዎችን በየጊዜው የሚዘመነው የOWASP Top 10 ነው። በእውነተኛው ዓለም መረጃ እና በባለሙያ ግንዛቤዎች ላይ በመመስረት በድር መተግበሪያዎች ውስጥ በጣም ከባድ የሆኑ ተጋላጭነቶችን ያጎላል።
የOWASP ተልዕኮ ደህንነትን ተደራሽ እና ለመረዳት የሚቻል ማድረግ፣ መተግበሪያዎችን ከመሠረቱ ለመጠበቅ የሚረዱ መሳሪያዎችን፣ ማዕቀፎችን እና እውቀትን መስጠት ነው። የOWASP ከፍተኛ 10 ገንቢዎች አስፈላጊ በሆኑት ተጋላጭነቶች ላይ እንዲያተኩሩ እና አስፈላጊዎቹን መፍትሄዎች በብቃት ተግባራዊ ማድረግ እንዲችሉ ለመርዳት እንደ ተግባራዊ ማዕቀፍ ሆኖ ያገለግላል።
የOWASP 10 ምርጥ
የ OWASP ከፍተኛ 10 ዘመናዊ የድር መተግበሪያዎችን ለሚያረጋግጡ ድርጅቶች መሠረታዊ የመተግበሪያ ደህንነት ምንጭ ነው። የድር መተግበሪያዎችን ደህንነት ለመጠበቅ ለሚሰራ ማንኛውም ድርጅት። አፕሊኬሽኖች የሚጠለፉባቸውን የተለመዱ መንገዶች ግንዛቤዎችን በመስጠት በጣም ወሳኝ የሆኑ የደህንነት ስጋቶችን ይዘረዝራል። የ OWASP ከፍተኛ 10 ተጋላጭነቶች እነዚህን ከፍተኛ አደጋዎች ያጎላሉ፣ እነሱን ለመቀነስ ተግባራዊ ምክሮችን ይሰጣሉ። እነዚህን ተጋላጭነቶች በቀጥታ መፍታት የማንኛውንም መተግበሪያ ደህንነት ለማጠናከር አስፈላጊ ነው።
የ OWASP 10 ምርጥ እና መፍትሄዎቻቸው ምንድናቸው?
የOWASP ከፍተኛ 10 በክፍት የድር መተግበሪያ ደህንነት ፕሮጀክት (OWASP) የታተመ በዓለም አቀፍ ደረጃ የታወቀ የግንዛቤ ሰነድ ነው። በእውነተኛው ዓለም የጥቃት መረጃ፣ በማህበረሰብ ምርምር እና በኢንዱስትሪ ትንተና ላይ በመመስረት ዘመናዊ የድር መተግበሪያዎችን የሚነኩ በጣም ወሳኝ የደህንነት አደጋዎችን ይለያል። ዝርዝሩ ገንቢዎች፣ የAppSec ቡድኖች፣ የDevSecOps መሐንዲሶች እና የደህንነት መሪዎች ለመተግበሪያዎች፣ ለኤፒአይዎች እና ለሶፍትዌር አቅርቦት ሰንሰለቶች ከፍተኛውን አደጋ የሚያስከትሉትን ተጋላጭነቶች ቅድሚያ እንዲሰጡ ይረዳቸዋል።
የአሁኑ የOWASP ከፍተኛ 10 እንደ Broken Access Control፣ Injection፣ Security Misconfiguration፣ Allergy and Timeted Components፣ Software and Data Integrity Failures፣ እና Server-Side Request Forgery (SSRF) ያሉ የደህንነት ምድቦችን ያካትታል። እነዚህን አደጋዎች መረዳት እና ተገቢውን የማስተካከያ ስልቶች ተግባራዊ ማድረግ ደህንነታቸው የተጠበቀ አፕሊኬሽኖችን ለመገንባት፣ የሶፍትዌር ደህንነት ተጋላጭነትን ለመቀነስ እና ድርጅቶችን ከዘመናዊ የሳይበር ስጋቶች ለመጠበቅ አስፈላጊ ነው።
የOWASP 10 ምርጥ ምድቦች
በጨረፍታ የ OWASP 10 ከፍተኛ ተጋላጭነቶች
| የ OWASP ምድብ | የመጀመሪያ ደረጃ አደጋ | የተለመደ ተፅዕኖ |
|---|---|---|
| የተበላሸ የመዳረሻ መቆጣጠሪያ | ያልተፈቀደ መዳረሻ | የውሂብ መጋለጥ |
| የክሪፕቶግራፊክ ውድቀቶች | ደካማ ምስጠራ | ሚስጥራዊ የውሂብ ስርቆት |
| መርፌ | ተንኮል አዘል የግቤት አፈፃፀም | የውሂብ ጎታ ስምምነት |
| ደህንነቱ ያልተጠበቀ ዲዛይን | የስነ-ህንፃ ድክመቶች | በስርዓት ደረጃ ያሉ ተጋላጭነቶች |
| የደህንነት የተሳሳተ ውቅር | ተገቢ ያልሆነ ማዋቀር | ያልተፈቀደ መዳረሻ |
| ተጋላጭ አካላት | ጊዜ ያለፈባቸው ጥገኞች | የአቅርቦት ሰንሰለት ስምምነት |
| የማረጋገጫ አለመሳካቶች | ደካማ የማንነት መቆጣጠሪያዎች | መለያ መውሰድ |
| የሶፍትዌር ትክክለኛነት አለመሳካቶች | የግንባታ/ጥገኝነት ማበላሸት | የማልዌር ማስገባት |
| የምዝግብ ማስታወሻ እና ክትትል አለመሳካቶች | ዘግይቶ የተገኘ ማወቂያ | የተራዘመ የአጥቂ ቆይታ ጊዜ |
| SSRF | የውስጥ ጥያቄ አላግባብ መጠቀም | የውስጥ አገልግሎት ስምምነት |
1. የተሰበረ የመዳረሻ መቆጣጠሪያ (A01:2021)
የተሰበረ የመዳረሻ መቆጣጠሪያ ምንድን ነው?
የተበላሸ የመዳረሻ መቆጣጠሪያ የሚከሰተው ተጠቃሚዎች ያልተፈቀደ የውሂብ ወይም የድርጊት መዳረሻ ሲያገኙ ነው። ለምሳሌ፣ አንድ አጥቂ የአስተዳዳሪ መዳረሻ ለማግኘት ዩአርኤልን ሊጠቀም ይችላል። OWASP ይህንን ችግር በ94% ከተሞከሩ መተግበሪያዎች ውስጥ አግኝቶታል፣ ይህም በጣም ከተለመዱት የ OWASP ከፍተኛ 10 የደህንነት ተጋላጭነቶች አንዱ ያደርገዋል።
ለተሰበረ የመዳረሻ መቆጣጠሪያ መፍትሄዎች
ይህንን አደጋ ለመቀነስ፣ ዝቅተኛ መብት ያለው መዳረሻን ማስፈጸም፣ ለስሱ ስራዎች ባለብዙ-ደረጃ ማረጋገጫ (MFA) መተግበር እና የተጠቃሚ ፈቃዶችን በመደበኛነት መመርመር።
የXygeni's Secrets Security እንደ ኤፒአይ ቁልፎች እና ቶከኖች ያሉ ሚስጥራዊ መረጃዎችን ለመጠበቅ ይረዳል፣ ይህም የመዳረሻ መቆጣጠሪያ ጥሰቶችን አደጋ ይቀንሳል። ቀጣይነት ያለው ክትትል የስርዓትዎን ታማኝነት ያረጋግጣል።
የራኤል-ዓለም ምሳሌ
In 2019, ፈርስት አሜሪካን ፋይናንሺያል ኮርፖሬሽን በላይ ተጋለጠ 850 ሚሊዮን ሚስጥራዊ መዝገቦች ተገቢ ባልሆነ የመዳረሻ ቁጥጥር ምክንያት። አጥቂዎች ሚስጥራዊ ሰነዶችን ለመድረስ ዩአርኤልን በቀላሉ ማሻሻል ይችላሉ። የመዳረሻ ነጥቦቹን በአግባቡ ለመጠበቅ ችላ በማለት ኩባንያው ሚስጥራዊ መረጃዎችን ለአደጋ አጋልጧል። ይህ ክስተት የተጠቃሚ ሚናዎችን ማረጋገጥ እና የተፈቀደላቸው ግለሰቦች ብቻ ሚስጥራዊ መረጃዎችን ማግኘት እንደሚችሉ ማረጋገጥ አስፈላጊ መሆኑን ያጎላል።
ዛሬ ለምን አስፈላጊ ነው? ዘመናዊ አፕሊኬሽኖች ኤፒአይዎችን፣ የደመና አገልግሎቶችን እና የተከፋፈሉ የተጠቃሚ ሚናዎችን ያጋልጣሉ፣ ይህም ያልተፈቀደ መዳረሻን ሚስጥራዊ የንግድ መረጃን ከሚነኩ በጣም የተለመዱ እና ጎጂ የደህንነት አደጋዎች አንዱ ያደርገዋል።
2. የክሪፕቶግራፊክ ብልሽቶች (A02:2021)
የክሪፕቶግራፊክ ውድቀቶች ምንድናቸው?
የክሪፕቶግራፊክ ብልሽቶች የሚከሰቱት ስርዓቶች ሚስጥራዊ መረጃዎችን በትክክል መመስጠር ሲያቅታቸው ሲሆን ይህም አጥቂዎች እንዲጠለፉ እና አላግባብ እንዲጠቀሙ ያስችላቸዋል። ስሱ መረጃዎችን ለመጠበቅ ጠንካራ ምስጠራ አስፈላጊ ነው።
ለክሪፕቶግራፊክ ውድቀቶች መፍትሄዎች
የተከማቸ ውሂብን በAES-256 ያመስጥሩ እና በትራንስፖርት ውስጥ ላለ ውሂብ TLS 1.2 ወይም ከዚያ በላይ ያስፈጽሙ። የኢንክሪፕሽን ቁልፎችን በመደበኛነት ያሽከርክሩ እና በተገቢው የመዳረሻ መቆጣጠሪያዎች ያስጠብቁዋቸው።
የXygeni መሠረተ ልማት እንደ ኮድ (IaC) ደህንነት በኢንክሪፕሽን ፖሊሲዎች ውስጥ ያሉ ድክመቶችን ለመከላከል በማሰማራት ወቅት የምስጠራ ቅንብሮችን ይፈትሻል።
የእውነተኛ ዓለም ምሳሌ
2017 ውስጥ, Exactisየውሂብ ማሰባሰቢያ ድርጅት፣ 340 ሚሊዮን የግል ሪከርዶችን አጋልጧል በተሳሳተ ምስጠራ ምክንያት። አጥቂዎች እንደ ስሞች፣ አድራሻዎች እና የስልክ ቁጥሮች ያሉ የግል መረጃዎችን ደርሰውበታል ምክንያቱም መረጃው በፕላኒንግ ቴክስት ውስጥ ስለተከማቸ። ይህ ጥሰት ሚስጥራዊ መረጃዎችን ኢንክሪፕት ማድረግ አለመቻል አደጋዎችን ያሳያል። ተገቢውን ምስጠራ በመተግበር standardእንደ AES-256 እና TLS ያሉ በትራንስፖርት ጊዜ ላሉ መረጃዎች፣ ድርጅቶች ውሂባቸውን ካልተፈቀደ መዳረሻ መጠበቅ ይችላሉ።
ዛሬ ለምን አስፈላጊ ነው? ድርጅቶች ሚስጥራዊ የሆኑ የደንበኛ፣ የፋይናንስ እና የማረጋገጫ መረጃዎችን በደመና አካባቢዎች ውስጥ እያከማቹ እና እያስተላለፉ ሲሆን ይህም ግላዊነትን እና ተገዢነትን ለመጠበቅ ጠንካራ ምስጠራ አስፈላጊ ያደርገዋል።
3. መርፌ (A03:2021)
የኢንፍሌሽን ጥቃቶች ምንድን ናቸው?
እንደ SQL Injection ያሉ የመርፌ ተጋላጭነቶች፣ አጥቂዎች ተንኮል አዘል ኮድ ወደ ስርዓትዎ እንዲገቡ ያስችላቸዋል፣ ይህም ውሂብን እንዲያዛቡ ወይም እንዲሰርቁ ያስችላቸዋል። የመርፌ ጥቃቶች ዘመናዊ የድር መተግበሪያዎችን ከሚነኩ በጣም የተለመዱ እና ተፅዕኖ ፈጣሪ የመተግበሪያ ደህንነት አደጋዎች አንዱ ሆነው ይቀጥላሉ።
ለሚከተሉት መፍትሄዎች የመርፌ ጥቃቶች
የተገመቱ ጥያቄዎችን ይጠቀሙ እና የተጠቃሚ ግብዓቶችን ያረጋግጡ። አደጋዎችን ለመቀነስ በሚቻልበት ጊዜ ሁሉ ተለዋዋጭ ጥያቄዎችን ያስወግዱ።
የXygeni's Anomaly ምርመራ መቆጣጠሪያዎች CI/CD pipelineዎች ለተለመደው ባህሪ፣ ሊሆኑ የሚችሉ የመርፌ ሙከራዎችን በእውነተኛ ጊዜ ማግኘት።
የእውነተኛ ዓለም ምሳሌ
In 2017, ኢኲፋክስ መከራ ደርሶበታል ከፍተኛ የውሂብ ጥሰት የግል መረጃውን ያጋለጠው 147 ሚሊዮን ደንበኞች። ጥሰቱ የተከሰተው በ የSQL መርፌ ተጋላጭነትአጥቂዎች የኩባንያውን ድህረ ገጽ እንዲቆጣጠሩ እና በመረጃ ቋቱ ውስጥ የተከማቸ ሚስጥራዊ መረጃን እንዲያገኙ ያስችላቸዋል። ድርጅቶች ስርዓቶቻቸው የተጠቃሚ ግብዓቶችን በአግባቡ ማፅዳታቸውን ማረጋገጥ አለባቸው። የSQL ጥያቄዎችን አዘውትሮ መጠገን እና መጠበቅ ይህንን ተጋላጭነት ሊከላከል ይችል ነበር።
ዛሬ ለምን አስፈላጊ ነው? የመርፌ ተጋላጭነቶች የድር መተግበሪያዎችን፣ ኤፒአይዎችን እና በAI የሚደገፉ የልማት የስራ ፍሰቶችን ላይ ተጽዕኖ ማሳደራቸውን ቀጥለዋል፣ ይህም ያልተረጋገጡ ግብዓቶች ወደ አስተርጓሚዎች፣ የውሂብ ጎታዎች ወይም የኋላ-መጨረሻ ስርዓቶች ይደርሳሉ።
4. ደህንነቱ ያልተጠበቀ ዲዛይን (A04:2021)
ደህንነቱ ያልተጠበቀ ዲዛይን ምንድን ነው?
ደህንነቱ ያልተጠበቀ ዲዛይን የሚከሰተው ገንቢዎች ደህንነትን ከመጀመሪያው የዲዛይን ምዕራፍ ጋር ማዋሃድ ሲያቅታቸው ሲሆን ይህም በኋላ ላይ ለመጠገን አስቸጋሪ የሆኑ ተጋላጭነቶችን ይፈጥራል። እነዚህ ድክመቶች አፕሊኬሽኖች ወደ ምርት አካባቢዎች ሲደርሱ ለማስተካከል አስቸጋሪ ናቸው።
ለሚከተሉት መፍትሄዎች ደህንነቱ ያልተጠበቀ ዲዛይን
በልማት ዑደት መጀመሪያ ላይ ደህንነቱ የተጠበቀ የዲዛይን መርሆዎችን እና የአደጋ ሞዴሊንግ አካትት። ዲዛይንዎን ሊከሰቱ የሚችሉ ድክመቶችን በየጊዜው ይገምግሙ እና ወሳኝ ችግሮች ከመሆናቸው በፊት ያስተካክሏቸው።
የዚጄኒ Application Security Posture Management (ASPM) አጥቂዎች ሊጠቀሙባቸው ከሚችሉ የዲዛይን ጉድለቶች በፊት ይለያል፣ ገንቢዎች ከጅምሩ ጀምሮ በምርታቸው ውስጥ ደህንነት እንዲያካትቱ ያረጋግጣል።
የእውነተኛ ዓለም ምሳሌ
የቅርብ ጊዜ የእውነተኛ ዓለም ምሳሌ ደህንነቱ ያልተጠበቀ ዲዛይን ን ው የማይክሮሶፍት ኤክስፖርት ፕሮክሲሼል ተጋላጭነቶች በ2021አጥቂዎች በማይክሮሶፍት ኤክስቼንጅ የማረጋገጫ እና የመዳረሻ መቆጣጠሪያ ዘዴዎች ውስጥ ያሉትን የዲዛይን ጉድለቶች ተጠቅመውበታል፣ ይህም በተጋለጡ አገልጋዮች ላይ ኮድን በርቀት እንዲፈጽሙ አስችሏቸዋል። እነዚህ ተጋላጭነቶች የአተገባበር ስህተቶች አልነበሩም፣ ነገር ግን ጥገናዎች በተሳሳተ መንገድ ከተተገበሩ በኋላም እንኳ ብዝበዛን ለማስቻል የሚያስችሉ መሠረታዊ የዲዛይን ድክመቶች ነበሩ። ይህ ጥሰት ተጋላጭነቶች በስርዓቱ ውስጥ እንዳይገነቡ ለመከላከል በዲዛይን ደረጃ ደህንነትን ማዋሃድ አስፈላጊ መሆኑን ያጎላል።
ዛሬ ለምን አስፈላጊ ነው? በዲዛይን ደረጃ ላይ የተከሰቱ የደህንነት ድክመቶች በኋላ ላይ በተለይም ደመና-ተኮር እና በፍጥነት በሚለዋወጡ የልማት አካባቢዎች ውስጥ ለመጠገን አስቸጋሪ እና ውድ ናቸው።
5. የደህንነት የተሳሳተ ውቅር (A05:2021)
የደህንነት የተሳሳተ ውቅር ምንድን ነው?
የደህንነት ስህተቶች የሚከሰቱት አጥቂዎች እንደ ነባሪ ቅንብሮችን የሚጠቀሙ ወይም አላስፈላጊ ወደቦችን ክፍት ሲተዉ አግባብ ባልሆነ መልኩ የተዋቀሩ ስርዓቶችን ሲጠቀሙ ነው። የተሳሳቱ ውቅሮች ለደመና እና ለመተግበሪያ ደህንነት ክስተቶች ዋና መንስኤዎች አንዱ ሆነው ይቆያሉ።
ለሚከተሉት መፍትሄዎች የደህንነት የተሳሳተ ውቅር
የውቅር ፍተሻዎችን በመጠቀም በራስ-ሰር ያከናውናል መሠረተ ልማት እንደ ኮድ (IaC) እና መደበኛ የደህንነት ኦዲቶችን ያካሂዱ። ሁሉንም ስርዓቶች በአዳዲስ ጥገናዎች ወቅታዊ ያድርጓቸው።
የዚጄኒ IaC Security ከማሰማራቱ በፊት የተሳሳቱ ውቅሮችን ይቃኛል እና በሁሉም አካባቢዎች የደህንነት መመሪያዎችን በተከታታይ ያስፈጽማል።
የእውነተኛ ዓለም ምሳሌ
2018 ውስጥ, ናሳ ጥሰት አጋጥሞታል ምክንያቱም የተሳሳቱ ቅንብሮች in አትላሲያን JIRA ተጋላጭ የሆኑ ሚስጥራዊ የፕሮጀክት እና የሰራተኛ መረጃዎች። አጥቂዎች መረጃውን በክፍት ውቅር ምክንያት ደርሰውበታል። አውቶማቲክ የደህንነት ፍተሻዎች እና ትክክለኛ የውቅር ፖሊሲዎች አፈፃፀም ይህንን ጥሰት ሊከላከል ይችል ነበር። አጥቂዎቹ አጥቂዎቹ ከመጠቀማቸው በፊት መደበኛ ኦዲቶች ተጋላጭነቱን ለይተው ያውቁ ነበር።
ዛሬ ለምን አስፈላጊ ነው? የተሳሳቱ የደመና አገልግሎቶች፣ CI/CD pipelineዎች፣ ኮንቴይነሮች እና የተጋለጡ የአስተዳደር በይነገጾች ለዘመናዊ የደህንነት ጥሰቶች ዋና መንስኤዎች አንዱ ሆነው ይቀጥላሉ።
6. ተጋላጭ እና ጊዜ ያለፈባቸው ክፍሎች (A06:2021)
ተጋላጭ እና ጊዜ ያለፈባቸው ክፍሎች ምንድናቸው?
ተጋላጭ እና ጊዜ ያለፈባቸው ክፍሎች የሚከሰቱት የሶስተኛ ወገን ቤተ-መጻሕፍትን ወይም የሚታወቁ የደህንነት ጉድለቶች ያላቸውን ማዕቀፎች ሲጠቀሙ ነው። አጥቂዎች እነዚህን ተጋላጭነቶች ተጠቅመው መተግበሪያዎን ሊያበላሹ ይችላሉ። ይህ በተለይ አደገኛ ስጋት ነው፣ ምክንያቱም እስከ 60% የሚሆኑ ዘመናዊ አፕሊኬሽኖች ከሶስተኛ ወገን ክፍሎች ጋር የተገነቡ ናቸው።
ለሚከተሉት መፍትሄዎች ተጋላጭ እና ጊዜ ያለፈባቸው ክፍሎች
የሶስተኛ ወገን ቤተ-መጻሕፍትን እና ጥገኝነቶችን በመደበኛነት ያዘምኑ፣ እና የሶፍትዌር ቅንብር ትንተናን ይጠቀሙ (SCA) ተጋላጭነቶችን ለመለየት እና ለማስተካከል የሚረዱ መሳሪያዎች።
የዚጄኒ Open Source Security ጊዜ ያለፈባቸውን ወይም ተንኮል አዘል ክፍሎችን ከመጠቀም ለመከላከል ጥገኝነትዎን ይቃኛል፣ ይህም ደህንነቱ የተጠበቀ መተግበሪያ እንዲኖርዎት ያግዝዎታል።
የእውነተኛ ዓለም ምሳሌ
In 2017, Apache Struts ያልተስተካከለ ተጋላጭነት ነበረው ይህም ወደ Equifax መጣስ, በሚሊዮን የሚቆጠሩ ተጠቃሚዎችን ይነካል። ተጋላጭነቱ በ ውስጥ ነበር አፓቼ ስትሩትስ 2በስፋት ጥቅም ላይ የዋለ ማዕቀፍ እና ኢኩፋክስ ፓቹን በጊዜው ተግባራዊ ማድረግ አልቻሉም። ይህም ስርዓቶቻቸው ለብዝበዛ እንዲጋለጡ አድርጓቸዋል። ወቅታዊ ዝመናዎች እና መደበኛ የተጋላጭነት ቅኝት ይህንን ጥሰት ይከላከሉ ነበር።
ዛሬ ለምን አስፈላጊ ነው? ዘመናዊ አፕሊኬሽኖች በክፍት ምንጭ ፓኬጆች እና በሶስተኛ ወገን ቤተ-መጻሕፍት ላይ በእጅጉ ጥገኛ ናቸው፣ ይህም የሶፍትዌር አቅርቦት ሰንሰለት ጥቃቶችን እና ተጋላጭ የሆኑ ጥገኝነቶችን እያደገ የመጣ የAppSec ስጋት ያደርገዋል።
7. የማረጋገጫ ውድቀቶች (A07:2021)
የመታወቂያ እና የማረጋገጫ ስህተቶች ምንድን ናቸው?
እነዚህ ተጋላጭነቶች የሚከሰቱት የማረጋገጫ ዘዴዎች ደካማ ወይም በአግባቡ ባልተተገበሩበት ጊዜ ሲሆን፣ ይህም አጥቂዎች የደህንነት መቆጣጠሪያዎችን እንዲያልፉ ያስችላቸዋል።
ለሚከተሉት መፍትሄዎች የመለየት እና የማረጋገጫ ውድቀቶች
ጠንካራ የይለፍ ቃል ፖሊሲዎችን ተግባራዊ ማድረግ፣ ባለብዙ-ደረጃ ማረጋገጫ (MFA) ማስፈጸም እና ያልተፈቀደ መዳረሻን ለመከላከል የማረጋገጫ ምዝግብ ማስታወሻዎችን ኦዲት ማድረግ።
የXygeni's Secrets Security የምስክር ወረቀቶችዎን ደህንነት ለመጠበቅ ይረዳል፣ ይህም በማረጋገጫ ሂደቱ ወቅት የፍሳሽ ማስወገጃ አደጋን ይቀንሳል።
የእውነተኛ ዓለም ምሳሌ
In 2020ወደ ደውል የደህንነት ካሜራ ጥሰት የተከሰተው በደካማ የይለፍ ቃላት ምክንያት ነው። አጥቂዎች ቀላል የይለፍ ቃላትን ተጠቅመው የቀጥታ ቪዲዮ ምግቦችን ከሚከተሉት ማግኘት ችለዋል። በሺዎች የሚቆጠሩ የተጠቃሚ ካሜራዎችይህ ጥሰት ጠንካራ የማረጋገጫ ልምዶችን አስፈላጊነት ያጎላል። ስለዚህ፣ ተግባራዊ ማድረግ ባለብዙ ደረጃ ማረጋገጫ (ኤምኤፍኤ) እና ማስፈጸም ጠንካራ የይለፍ ቃል ፖሊሲዎች ያልተፈቀደ መዳረሻን በቀላሉ ይከለክል ነበር።
ዛሬ ለምን አስፈላጊ ነው? ደካማ የማረጋገጫ ዘዴዎች የመለያ ቁጥጥር፣ የማረጋገጫ ማሸጊያ ጥቃቶች እና በ SaaS፣ ደመና እና በSaaS ላይ ያልተፈቀደ መዳረሻን ማንቃት ቀጥለዋል። enterprise ትግበራዎች.
8. የሶፍትዌር እና የውሂብ ታማኝነት አለመሳካቶች (A08:2021)
የሶፍትዌር እና የውሂብ ታማኝነት አለመሳካቶች ምንድናቸው?
እነዚህ ተጋላጭነቶች የሚከሰቱት ኮድ ወይም መሠረተ ልማት ከመስተጓጎል ሲከላከል ነው። አጥቂዎች ግንባታውን ሊያበላሹ ይችላሉ pipelines፣ ጥገኝነቶች ወይም የማሰማራት ሂደቶች፣ ተንኮል አዘል ኮድ ወደ ታማኝ ዝመናዎች ውስጥ በማስገባት። ይህ ዓይነቱ ጉድለት የአቅርቦት ሰንሰለት ጥቃቶች መጨመር ምክንያት ዋና ስጋት ሆኗል፣ የታመኑ የሶስተኛ ወገን ክፍሎች እንኳን አውታረ መረቦችን ሰርገው ለመግባት የታለሙ ናቸው።
ለሚከተሉት መፍትሄዎች የሶፍትዌር እና የውሂብ ታማኝነት አለመሳካቶች
ይህንን ለማቃለል፣ የኮድ ፊርማን ተግባራዊ ማድረግ፣ ደህንነቱ የተጠበቀ የግንባታ ሂደቶችን መጠቀም እና የሁሉም የሶስተኛ ወገን አካላት ታማኝነት ማረጋገጥ።
የዚጄኒ CI/CD መያዣ መሆኑን ያረጋግጣል pipelineዎች ደህንነታቸው የተጠበቀ እና ያልተለመዱ ነገሮችን ለመከላከል ክትትል የሚደረግባቸው ናቸው። የXygeni Anomaly Detection መስተጓጎልን የሚያመለክቱ አጠራጣሪ እንቅስቃሴዎችን ለይቶ ማወቅ ይችላል።
የእውነተኛ ዓለም ምሳሌ
In 2024፣ ጉልህ የሆነ የአቅርቦት ሰንሰለት ጥቃት ኢላማ አድርጓል XZ ዩቲልስበሊኑክስ ሲስተሞች ውስጥ በስፋት ጥቅም ላይ የሚውል የመጭመቂያ ቤተ-መጽሐፍት። XZ Utils በሺዎች በሚቆጠሩ ድርጅቶች የሚታመን ፋይሎችን ለመጭመቅ የሚያገለግል ወሳኝ መሳሪያ ነው። ሆኖም ግን፣ አጥቂዎች በኮዱ ውስጥ የኋላ በር በማስገባት የፕሮጀክቱን የግንባታ ሂደት በተሳካ ሁኔታ አበላሽተዋል።
አጥቂዎቹ ለተወሰነ ጊዜ ሳይስተዋል ቀርቷል፣ ይህም ማለት በተጎዳው ቤተ-መጽሐፍት ላይ የተመሰረቱ ስርዓቶች ለርቀት ኮድ አፈፃፀም እና ለተጨማሪ ብዝበዛ ተጋላጭ ነበሩ ማለት ነው። በዚህም ምክንያት እነዚህ አጥቂዎች በተጎዱት ስርዓቶች ላይ ቁጥጥር አግኝተዋል፣ ይህም የውሂብ ጥሰቶች እና ሚስጥራዊ መረጃዎች መጎዳት አስከትሏል።
ይህ ክስተት የሚከተሉትን አደጋዎች በግልፅ ለማስታወስ ያገለግላል የአቅርቦት ሰንሰለት ጥቃቶች. በሰፊው የሚታመን ቤተ-መጽሐፍት እንኳን በርካታ ስርዓቶችን ለማበላሸት ሊታለሉ ይችላሉ። ደህንነቱ የተጠበቀ የግንባታ ሂደቶችን በማረጋገጥ፣ የኮድ ፊርማ ቴክኒኮችን በመጠቀም እና የሶስተኛ ወገን ክፍሎችን ያለማቋረጥ በመከታተል፣ ድርጅቶች እንደዚህ ያሉ ተጋላጭነቶች በስርዓቶቻቸው ውስጥ እንዳይገቡ መከላከል ይችላሉ።
ዛሬ ለምን አስፈላጊ ነው? የሶፍትዌር አቅርቦት ሰንሰለት ጥቃቶች ህንፃን ኢላማ ያደረጉ ጥቃቶች pipelineዎች፣ የጥቅል መዝገቦች፣ ጥገኞች፣ እና CI/CD ስርዓቶች ለዘመናዊ የሶፍትዌር ልማት ትልቅ አደጋ ሆነዋል።
9. የደህንነት ምዝግብ ማስታወሻ እና ክትትል አለመሳካቶች (A09:2021)
የደህንነት ምዝግብ ማስታወሻ እና ክትትል አለመሳካቶች ምንድናቸው?
እነዚህ ውድቀቶች የሚከሰቱት መተግበሪያዎች የደህንነት ክስተቶችን በአግባቡ ሳይመዘግቡ ሲቀሩ ወይም የክትትል ዘዴዎች ሲጎድሉ ነው። ዝርዝር ምዝግብ ማስታወሻዎች ከሌሉ፣ ለጥቃቶች መለየት እና ምላሽ መስጠት አስቸጋሪ ይሆናል። እነዚህ ድክመቶች ብዙውን ጊዜ የጥሰት ምርመራን ያዘገያሉ፣ ይህም አጥቂዎች ለረጅም ጊዜ ስርዓቶችን እንዲጠቀሙ ያስችላቸዋል።
ለሚከተሉት መፍትሄዎች የደህንነት ምዝግብ ማስታወሻ እና ክትትል አለመሳካቶች
ለሁሉም ወሳኝ እርምጃዎች ሁሉን አቀፍ የምዝግብ ማስታወሻ ደብተርን ያንቁ፣ ምዝግብ ማስታወሻዎችን ደህንነቱ በተጠበቀ ሁኔታ ያስቀምጡ እና አጠራጣሪ ለሆኑ ተግባራት ክትትል እንዲደረግባቸው ያረጋግጡ። በተጨማሪም፣ ሊከሰቱ ስለሚችሉ አደጋዎች ለማሳወቅ አውቶማቲክ መሳሪያዎችን ይጠቀሙ።
የXygeni's Anomaly ምርመራ በእውነተኛ ጊዜ ያልተለመዱ እንቅስቃሴዎችን ለመለየት ይረዳል። በተጨማሪም፣ CI/CD ደህንነት የምዝግብ ማስታወሻ እና የክትትል ውቅሮች በሁሉም አካባቢዎች በተከታታይ እንዲተገበሩ ያረጋግጣል።
የእውነተኛ ዓለም ምሳሌ
In 2023, በ Uber የውሂብ ጥሰት አጋጥሞታል ይህም የሺዎች አሽከርካሪዎች የግል መረጃ ተጎድቷልጥሰቱ የተከሰተው የሶስተኛ ወገን የሕግ ድርጅት ሲሆን፣ ጄኖቫ በርንስየደህንነት ክስተት አጋጥሞታል፣ ይህም መረጃውን አጋልጧል። ምንም እንኳን ማንቂያዎች ቢቀሰቀሱም፣ የኡበር የክትትል ስርዓቶች ጥቃቱን ወዲያውኑ መለየት እና ምላሽ መስጠት አልቻሉም።
አጥቂዎቹ ስስ የሆኑ መረጃዎችን፣ ስሞችን፣ የስልክ ቁጥሮችን እና የመንዳት መዝገቦችን ጨምሮ ማግኘት ችለዋል። ይህ መዘግየት በዋናነት የተከሰተው አጠቃላይ የሎግ መዝገቦች እጥረት እና በቂ ያልሆነ የክትትል ስርዓቶች በመኖራቸው ነው።
ኡበር የስርዓቶቹን ተደራሽነት በአግባቡ ቢከታተል እና የተሻሉ የሎግንግ ልምዶችን ቢተገብር ኖሮ፣ ጥሰቱን ቶሎ ለይተው ማወቅ ይችሉ ነበር። በዚህም ምክንያት ኩባንያው የዝና ጉዳትን እና የገንዘብ ኪሳራዎችን መቀነስ ይችል ነበር። ይህ ጥሰት አደጋዎችን ቀደም ብሎ ለመለየት እና ለመቀነስ ውጤታማ የሎግንግ እና የክትትል ስርዓቶችን መጠበቅ ወሳኝ ጠቀሜታን ያጎላል።
ዛሬ ለምን አስፈላጊ ነው? ድርጅቶች ተገቢ የሆነ ታይነት እና ክትትል ሳያደርጉ ጥቃቶችን ቀደም ብለው ለመለየት ይቸገራሉ፣ ይህም አጥቂዎች ለረጅም ጊዜ ሳይታወቁ እንዲቆዩ ያስችላቸዋል።
10. የአገልጋይ-ጎን የጥያቄ ማጭበርበር (SSRF) (A10:2021)
የአገልጋይ-ጎን የጥያቄ ማጭበርበር ምንድን ነው?
SSRF የሚከሰተው አጥቂዎች አንድ አገልጋይ ወደማይፈለጉ ቦታዎች ጥያቄዎችን እንዲያቀርብ ሲያታልሉ፣ ብዙውን ጊዜ ውስን መሆን ያለባቸውን የውስጥ አገልግሎቶችን ሲደርሱ ነው። ይህ ተጋላጭነት አጥቂዎች ሚስጥራዊ መረጃዎችን እንዲያገኙ ወይም በውስጣዊ ስርዓቶች ላይ ትዕዛዞችን እንዲፈጽሙ ያስችላቸዋል።
ለ SSRF የሚሆኑ መድኃኒቶች
SSRFን ለመከላከል፣ ሁሉንም የተጠቃሚ ግብዓቶች ያረጋግጡ እና አገልጋዩ ወደ ውጭ የሚላኩ ጥያቄዎችን የማድረግ ችሎታን ይገድቡ። በተጨማሪም፣ አገልጋዩ የትኞቹን ዩአርኤሎች መድረስ እንደሚችል ለመቆጣጠር የተፈቀዱ ዝርዝሮችን ይጠቀሙ።
የዚጄኒ CI/CD ደህንነት ለመከታተል ይረዳል pipelineለኤስኤስአርኤፍ ተጋላጭነቶች። በተጨማሪም፣ የXygeni's Anomaly Detection ያልተጠበቁ ወይም አጠራጣሪ የጥያቄ ቅጦችን ሊይዝ ይችላል።
የእውነተኛ ዓለም ምሳሌ
In 2022፣ በ ውስጥ ጉልህ የሆነ ተጋላጭነት የማይክሮሶፍት ኤክስቼንጅ (CVE-2022-41040) በአጥቂዎች የSSRF ቴክኒኮችን በመጠቀም ጥቅም ላይ ውሏል። አጥቂዎች የውስጥ የደህንነት ጥበቃዎችን በማለፍ ወደ Exchange አገልጋይ ተንኮል አዘል ጥያቄዎችን መላክ ችለዋል።
አጥቂዎች ወደ ውስጥ ከገቡ በኋላ ውስጣዊ ስርዓቶችን ደርሰው ሚስጥራዊ መረጃዎችን አጠቁ። ኤስኤስአርኤፍን በመጠቀም, ያልተፈቀደላቸው ውስን የውስጥ ሀብቶችን ማግኘት ችለዋል፣ ይህም ከፍተኛ የደህንነት ጥሰቶችን አስከትሏል።
የSSRF ተጋላጭነቶች በተለይ አደገኛ ናቸው ምክንያቱም አጥቂዎች ለሕዝብ መጋለጥ የሌለባቸውን ውስጣዊ ስርዓቶች እንዲያገኙ ስለሚያስችላቸው። ማይክሮሶፍት ጥብቅ የግብዓት ማረጋገጫ እና የወጪ ጥያቄ ገደቦችን ተግባራዊ ቢያደርግ ኖሮ አጥቂዎቹ ይህንን ተጋላጭነት ለመጠቀም የሚያደርጉትን ሙከራ ሊያግዱ ይችሉ ነበር። ይህ ጥሰት የአገልጋይ ጥያቄዎችን ለስሱ ውስጣዊ ሀብቶች መቆጣጠር እና ታማኝ እና የተረጋገጡ ምንጮች ብቻ ከእነሱ ጋር መስተጋብር መፍጠር እንደሚችሉ ማረጋገጥ አስፈላጊ መሆኑን ያሳያል።
ዛሬ ለምን አስፈላጊ ነው? የደመና-ተወላጅ አርክቴክቸሮች እና ውስጣዊ ኤፒአይዎች አጥቂዎች ሚስጥራዊ የውስጥ አገልግሎቶችን እና የሜታዳታ ስርዓቶችን ለመድረስ የሚጠቀሙባቸውን የSSRF ተጋላጭነቶች ተጽእኖ ጨምረዋል።
የ OWASP 10 ምርጥ ምክንያቶች አሁንም አስፈላጊ ናቸው
የ የOWASP 10 ከፍተኛ ተጋላጭነቶች አፕሊኬሽኖቻቸውን ከተለመዱት እና አደገኛ ስጋቶች ለመጠበቅ ለሚፈልጉ ድርጅቶች ወሳኝ ናቸው። እነዚህ አደጋዎች ቲዎሪቲካል አይደሉም፤ የውሂብ ጥሰቶችን፣ የገንዘብ ኪሳራን እና የዝና ጉዳትን ሊያስከትሉ የሚችሉ እውነተኛ የዓለም አደጋዎችን ይወክላሉ። እነዚህን ተጋላጭነቶች በንቃት በመፍታት፣ ድርጅቶች የተሳካላቸው ጥቃቶችን አደጋ በእጅጉ ሊቀንሱ እና ስርዓቶቻቸው እየተሻሻሉ ካሉ ስጋቶች የሚቋቋሙ መሆናቸውን ማረጋገጥ ይችላሉ።
በተጨማሪም፣ በ OWASP ከፍተኛ 10 ተጋላጭነቶች ዝርዝር ውስጥ የተመከሩትን መፍትሄዎች መተግበር ድርጅቶች ለደህንነት ስትራቴጂካዊ አቀራረብን እንዲወስዱ ይረዳል። ለምሳሌ፣ የመዳረሻ ቁጥጥርን ማጠናከር፣ የምስጠራ ልምዶችን ማረጋገጥ እና የአቅርቦት ሰንሰለት አደጋዎችን መቀነስ ሁሉም እነዚህን ተጋላጭነቶች ለመፍታት ወሳኝ ሚና ይጫወታሉ። በዚህም ምክንያት ድርጅቶች የጥቃቱን ገጽታ ይቀንሳሉ፣ ይህም አጥቂዎች በስርዓቱ ውስጥ ያሉትን ድክመቶች ለመጠቀም የበለጠ አስቸጋሪ ያደርገዋል።
የሳይበር አደጋዎች እየተስፋፉ ሲሄዱ፣ ድርጅቶች ሊከሰቱ ከሚችሉ ተጋላጭነቶች ቀድመው መቆየታቸው አስፈላጊ ነው። ድርጅቶች ቀደም ብለው እርምጃ በመውሰድ ለአፕሊኬሽኖቻቸው የረጅም ጊዜ ጥበቃን ያረጋግጣሉ እንዲሁም የተጠቃሚዎቻቸውን እምነት ይጠብቃሉ።
ከባህላዊው የ OWASP ከፍተኛ 10 ተጋላጭነቶች ባሻገር፣ ድርጅቶች ከጊዜ ወደ ጊዜ ተንኮል አዘል የክፍት ምንጭ ፓኬጆች፣ የጥገኝነት ግራ መጋባት ጥቃቶች፣ የፊደል አጻጻፍ ዘመቻዎች፣ ደህንነቱ ያልተጠበቀ በ AI የተፈጠረ ኮድ ያጋጥማቸዋል። CI/CD pipeline ስምምነት፣ ሚስጥራዊነት መጋለጥ እና የሶፍትዌር አቅርቦት ሰንሰለት ማልዌር።
ዘመናዊ የAppSec ፕሮግራሞች የOWASP መመሪያዎችን ከ ጋር እያጣመሩ ነው software supply chain securityእየተሻሻሉ ያሉ የጥቃት ቦታዎችን ለመፍታት የAI ደህንነት እና የሩጫ ጊዜ ስጋት ትንተና።
Xygeni የOWASP እና የOWASP SAMM ተነሳሽነቶችን እንዴት እንደሚደግፍ
አድራሻ የOWASP 10 ከፍተኛ ተጋላጭነቶች የድር መተግበሪያዎችን ደህንነት ለመጠበቅ ወሳኝ ነው። ቢሆንምየማመልከቻዎን ደህንነት መጠበቅ በዚያ ብቻ አያበቃም። የOWASP ሶፍትዌር ማረጋገጫ የብስለት ሞዴል (SAMM) በሶፍትዌር ልማት የህይወት ዑደት ውስጥ የደህንነት ብስለትዎን ለመገምገም እና ለማሻሻል ማዕቀፍ ያቀርባል (SDLC). በማጣመር የXygeni አጠቃላይ የደህንነት መሳሪያዎች፣ ድርጅቶች ሊገቱ የሚችሉት ብቻ አይደሉም የ OWASP 10 ከፍተኛ የደህንነት ተጋላጭነቶች ነገር ግን በOWASP SAMM እንደተገለጸው አጠቃላይ የደህንነት ብስለትን ያሳድጋሉ።
የ Xygeni መተግበሪያ ደህንነትን ማጠናከር
Xygeni ድርጅቶችን ለመቅረፍ ኃይል ይሰጣል የ OWASP 10 ከፍተኛ ተጋላጭነቶች ዝርዝር የOWASP SAMMን ተቀባይነት በማፋጠን፣ ድርጅቶች በሶፍትዌር ደህንነት ብስለት ቀጣይነት ባለው መልኩ እንዲሻሻሉ በመርዳት። የደህንነት መቆጣጠሪያዎችን በራስ-ሰር በማድረግ፣ በአደጋ ላይ የተመሰረተ ቅድሚያ መስጠትን በማስቻል እና የአደጋ አስተዳደርን በማጠናከር፣ Xygeni ድርጅቶች ደህንነቱ የተጠበቀ፣ ጠንካራ ሶፍትዌር እንዲገነቡ እና የደህንነት ጥሰቶችን አደጋ በብቃት እንዲቀንሱ ይረዳል።
በእውነተኛ ጊዜ ክትትል፣ በራስ-ሰር የተጋላጭነት ምርመራ እና በመላው ዓለም የፖሊሲ አፈፃፀምን በመጠቀም SDLC, Xygeni የደህንነት እና የተገዢነት ጥረቶችን ቀላል ያደርገዋል፣ ከ OWASP SAMM ምርጥ ልምዶች ጋር ይጣጣማል። ይህም ድርጅቶች የደህንነት ብስለትን ቀስ በቀስ እንዲያሳድጉ ያስችላቸዋል፣ ይህም ቀጣይነት ያለው መሻሻልን ለማረጋገጥ ግልጽ የሆነ የመንገድ ካርታ አለው።
መተግበሪያዎችዎን ደህንነቱ የተጠበቀ ለማድረግ አሁኑኑ እርምጃ ይውሰዱ
የ የOWASP 10 ከፍተኛ ተጋላጭነቶች ዘመናዊ አፕሊኬሽኖችን የሚያጋጥሟቸውን በጣም አሳሳቢ የደህንነት ስጋቶች ያጎሉ። የ OWASP መመሪያዎች እና እዚህ የተዘረዘሩትን ምርጥ ልምዶችን ተግባራዊ ማድረግ፣ ይችላሉ ድርጅትዎን ከእነዚህ አደጋዎች ይጠብቁ እና የተራቀቁ ጥቃቶችን የሚቋቋሙ መተግበሪያዎችን ይገንቡ።
የመተግበሪያዎን ደህንነት ያጠናክሩ እና Software Supply Chain Security.
ዘመናዊ አፕሊኬሽኖች ከባህላዊ የተጋላጭነት ቅኝት የበለጠ ያስፈልጋቸዋል። ዚጌኒ ድርጅቶች በምንጭ ኮድ፣ በክፍት ምንጭ ጥገኝነት ላይ ያሉ 10 ከፍተኛ የ OWASP አደጋዎችን እንዲለዩ፣ እንዲያስቀድሙ እና እንዲያስተካክሉ ያግዛል፣ CI/CD pipelineዎች፣ የደመና መሠረተ ልማት እና በAI የታገዘ የልማት የስራ ፍሰቶች።
Xygeni የAppSec እና DevSecOps ቡድኖችን በዘመናዊው ዓለም ውስጥ አደጋን ለመቀነስ እንዴት እንደሚረዳ ይወቁ SDLC!
