’S e OWASP Top 10 aon de na prìomh iomraidhean tèarainteachd aplacaidean a thathas a’ cleachdadh airson na cunnartan tèarainteachd aplacaidean lìn as cudromaiche a chomharrachadh agus a lughdachadh. Tha an stiùireadh seo a’ mìneachadh nan 10 cunnartan as fheàrr ann an OWASP, eisimpleirean san t-saoghal fhìor, cleachdaidhean as fheàrr airson leigheas, agus mar a tha AppSec ùr-nodha agus… software supply chain security bidh fuasglaidhean a’ cuideachadh bhuidhnean gus cunnart a lughdachadh air feadh SDLC.
Pròiseact Tèarainteachd Iarrtasan Lìn Fosgailte (OWASP)
Pròiseact Tèarainteachd Iarrtasan Lìn Fosgailte ’S e buidheann neo-phrothaideach air thoiseach a th’ ann an (OWASP) a tha coisrigte ri tèarainteachd bathar-bog a leasachadh. Tha OWASP ainmeil airson a follaiseachd agus commita’ buntainn ri fuasglaidhean a tha air an stiùireadh leis a’ choimhearsnachd, agus tha sin air a dhèanamh na ghoireas air leth freagarrach do luchd-leasachaidh, proifeiseantaich tèarainteachd agus buidhnean a tha airson na cleachdaidhean tèarainteachd as fheàrr a ghabhail os làimh. Am measg nan iomadh tabhartas a thug e, is e aon den fheadhainn as cudromaiche OWASP Top 10, liosta a thèid ùrachadh gu cunbhalach de na cunnartan tèarainteachd as cudromaiche ann an tagraidhean lìn a bheir buaidh air tagraidhean an latha an-diugh. Tha e a’ soilleireachadh nan so-leòntachdan as miosa ann an tagraidhean lìn, stèidhichte air dàta fìor-shaoghalta agus beachdan eòlaichean.
’S e misean OWASP tèarainteachd a dhèanamh ruigsinneach agus so-thuigsinn, a’ toirt seachad innealan, frèamaichean agus eòlas gus cuideachadh le bhith a’ dèanamh aplacaidean tèarainte bhon talamh suas. Tha OWASP Top 10 na fhrèam practaigeach gus luchd-leasachaidh a chuideachadh le bhith a’ cur fòcas air na so-leòntachdan as cudromaiche, a’ dèanamh cinnteach gun urrainn dhaibh na fuasglaidhean riatanach a chuir an gnìomh gu h-èifeachdach.
An 10 as fheàrr aig OWASP
’S e goireas tèarainteachd bunaiteach a th’ anns an OWASP Top 10 airson buidhnean a tha a’ dìon aplacaidean lìn an latha an-diugh. Airson buidheann sam bith a tha ag obair gus aplacaidean lìn a dhèanamh tèarainte. Tha e a’ mìneachadh nan cunnartan tèarainteachd as cudromaiche, a’ tabhann lèirsinn air na dòighean cumanta anns a bheil aplacaidean air an cur an cunnart. Tha na 10 so-leòntachd as fheàrr aig OWASP a’ soilleireachadh nan cunnartan as àirde sin, a’ tabhann mholaidhean practaigeach gus an lughdachadh. Tha e riatanach dèiligeadh ris na so-leòntachd sin gu dìreach airson tèarainteachd aplacaid sam bith a neartachadh.
Dè a th’ ann an 10 as fheàrr le OWASP agus na leigheasan aca?
’S e sgrìobhainn mothachaidh aithnichte air feadh an t-saoghail a th’ anns an OWASP Top 10 a chaidh fhoillseachadh leis a’ Phròiseact Tèarainteachd Iarrtasan Lìn Fosgailte (OWASP). Tha e a’ comharrachadh nan cunnartan tèarainteachd as cudromaiche a tha a’ toirt buaidh air aplacaidean lìn an latha an-diugh stèidhichte air dàta ionnsaigh san t-saoghal fhìor, rannsachadh coimhearsnachd, agus mion-sgrùdadh gnìomhachais. Bidh an liosta a’ cuideachadh luchd-leasachaidh, sgiobaidhean AppSec, innleadairean DevSecOps, agus stiùirichean tèarainteachd gus prìomhachas a thoirt do na so-leòntachdan a tha a’ cur a’ chunnart as motha do aplacaidean, APIan, agus slabhraidhean solair bathar-bog.
Tha na 10 prìomh roinnean tèarainteachd aig OWASP an-dràsta a’ gabhail a-steach roinnean leithid Smachd Ruigsinneachd Briste, In-stealladh, Mì-rèiteachadh Tèarainteachd, Co-phàirtean So-leònte agus Seann-fhasanta, Fàilligidhean Ionracas Bathar-bog is Dàta, agus Foill-chleachdadh Iarrtasan Taobh an Frithealaiche (SSRF). Tha e riatanach tuigse fhaighinn air na cunnartan seo agus na ro-innleachdan leigheis iomchaidh a chur an gnìomh airson tagraidhean tèarainte a thogail, nochdadh tèarainteachd bathar-bog a lughdachadh, agus buidhnean a dhìon an aghaidh bagairtean saidhbear an latha an-diugh.
10 Prìomh Roinnean OWASP
Sealladh farsaing air na 10 prìomh sho-leòntachdan aig OWASP
| Roinn-seòrsa OWASP | Cunnart bun-sgoile | Buaidh àbhaisteach |
|---|---|---|
| Smachd ruigsinneachd briste | Ruigsinneachd gun chead | Nochdadh dàta |
| Fàilligidhean crioptagrafach | Crioptachadh lag | Goid dàta mothachail |
| Injection | Cur an gnìomh cuir-a-steach droch-rùnach | Co-rèiteachadh stòr-dàta |
| Dealbhadh mì-thèarainte | Laigsean ailtireachd | So-leòntachdan air feadh an t-siostaim |
| Mì-dhealbhadh tèarainteachd | Suidheachadh neo-iomchaidh | Ruigsinneachd gun chead |
| Co-phàirtean so-leònte | Eisimeileachdan seann-fhasanta | Co-rèiteachadh slabhraidh solair |
| Fàillidhean dearbhaidh | Smachdan dearbh-aithne lag | Gabhail cunntas |
| Fàilligidhean Ionracas Bathar-bog | Milleadh togail/eisimeileachd | Cuir a-steach malware |
| Fàilligidhean Logaidh is Sgrùdaidh | Lorg dàil | Ùine-fuirich nas fhaide air an ionnsaigh |
| SSRF | Droch-chleachdadh iarrtasan a-staigh | Co-rèiteachadh seirbheis a-staigh |
1. Smachd Ruigsinneachd Briste (A01:2021)
Dè a th’ ann an Smachd Ruigsinneachd Briste?
Bidh Smachd Ruigsinneachd Briste a’ tachairt nuair a gheibh luchd-cleachdaidh ruigsinneachd gun chead air dàta no gnìomhan. Mar eisimpleir, dh’ fhaodadh neach-ionnsaigh URL a làimhseachadh gus ruigsinneachd rianaire fhaighinn. Lorg OWASP a’ chùis seo ann an 94% de na h-aplacaidean a chaidh a dhearbhadh, ga fhàgail mar aon de na 10 so-leòntachdan tèarainteachd as cumanta ann an OWASP.
Leigheasan airson Smachd Ruigsinneachd Briste
Gus an cunnart seo a lughdachadh, cuir an gnìomh an ìre as lugha de cheadan ruigsinneachd, cuir dearbhadh ioma-fhactar (MFA) an gnìomh airson obrachaidhean mothachail, agus dèan sgrùdadh cunbhalach air ceadan luchd-cleachdaidh.
Dìomhaireachdan Tèarainteachd Xygeni a’ cuideachadh le bhith a’ dìon fiosrachadh mothachail leithid iuchraichean API agus comharran, a’ lughdachadh cunnart briseadh smachd ruigsinneachd. Bidh sgrùdadh leantainneach a’ dèanamh cinnteach à ionracas an t-siostaim agad.
Eisimpleir Rael-Saoghail
In 2019, A’ Chiad Chompanaidh Ionmhais Ameireaganach fosgailte thairis 850 millean clàr mothachail air sgàth smachd ruigsinneachd neo-iomchaidh. Dh’ fhaodadh luchd-ionnsaigh dìreach URL atharrachadh gus faighinn gu sgrìobhainnean dìomhair. Le bhith a’ dearmad na puingean ruigsinneachd a dhèanamh tèarainte gu ceart, dh’ fhàg a’ chompanaidh dàta mothachail so-leònte. Tha an tachartas seo a’ cur cuideam air an fheum air dreuchdan luchd-cleachdaidh a dhearbhadh agus dèanamh cinnteach nach urrainn ach do dhaoine ùghdarraichte faighinn gu fiosrachadh mothachail.
Carson a tha e cudromach an-diugh? Bidh aplacaidean an latha an-diugh a’ nochdadh APIan, seirbheisean sgòthan, agus dreuchdan luchd-cleachdaidh sgaoilte, a’ dèanamh ruigsinneachd gun chead mar aon de na cunnartan tèarainteachd as cumanta agus as milltiche a bheir buaidh air dàta gnìomhachais mothachail.
2. Fàilligidhean crioptagrafach (A02:2021)
Dè a th’ ann am fàilligidhean crioptagrafach?
Bidh fàilligidhean crioptagrafach a’ tachairt nuair a dh’fhàilligeas siostaman dàta mothachail a chrioptachadh gu ceart, a’ leigeil le luchd-ionnsaigh a ghlacadh agus a dhroch chleachdadh. Tha crioptachadh làidir riatanach airson dàta mothachail a dhìon.
Leigheasan airson fàilligidhean crioptagrafach
Crioptaich dàta a tha air a stòradh le AES-256 agus cuir an gnìomh TLS 1.2 no nas àirde airson dàta a tha ga ghluasad. Cuairtich iuchraichean crioptachaidh gu cunbhalach agus dèan cinnteach gu bheil iad tèarainte le smachdan ruigsinneachd iomchaidh.
Bun-structar Xygeni mar Chòd (IaC) Tèarainteachd a’ sgrùdadh roghainnean crioptachaidh rè an cleachdaidh gus casg a chur air laigsean ann am poileasaidhean crioptachaidh.
Eisimpleir fìor-shaoghal
Ann 2017, Dìreach, companaidh cruinneachaidh dàta, nochd 340 millean clàr fa leth air sgàth crioptachadh neo-iomchaidh. Fhuair luchd-ionnsaigh cothrom air fiosrachadh pearsanta leithid ainmean, seòlaidhean agus àireamhan fòn leis gun deach an dàta a stòradh ann an teacsa soilleir. Tha an briseadh seo a’ sealltainn nan cunnartan a tha an lùib fàiligeadh dàta mothachail a chrioptachadh. Le bhith a’ cur crioptachadh ceart an sàs standardLe bhith a’ cleachdadh dhòighean leithid AES-256 airson dàta aig fois agus TLS airson dàta a tha ga ghluasad, faodaidh buidhnean an dàta aca a dhìon bho ruigsinneachd gun chead.
Carson a tha e cudromach an-diugh? Bidh buidhnean a’ sìor fhàs a’ stòradh agus a’ gluasad dàta mothachail luchd-ceannach, ionmhais agus dearbhaidh thar àrainneachdan sgòthan, agus mar sin tha crioptachadh làidir riatanach airson prìobhaideachd agus gèilleadh a dhìon.
3. In-stealladh (A03:2021)
Dè a th’ ann an ionnsaighean stealladh?
Le so-leòntachdan stealladh, leithid stealladh SQL, faodaidh luchd-ionnsaigh còd droch-rùnach a chuir a-steach don t-siostam agad, agus mar sin bidh e comasach dhaibh dàta a làimhseachadh no a ghoid. Tha ionnsaighean stealladh fhathast mar aon de na cunnartan tèarainteachd tagraidh as cumanta agus as buadhaiche a bheir buaidh air tagraidhean lìn an latha an-diugh.
Leigheasan airson Ionnsaighean In-stealladh
Cleachd ceistean paramadairichte agus dearbhaich cuir-a-steach luchd-cleachdaidh. Seachain ceistean fiùghantach far a bheil sin comasach gus cunnartan a lughdachadh.
Lorgaireachd Neo-riaghailteachd Xygeni Sgrùdaidhean CI/CD pipelines airson giùlan neo-àbhaisteach, a’ glacadh oidhirpean stealladh a dh’fhaodadh a bhith ann ann an àm fìor.
Eisimpleir fìor-shaoghal
In 2017, Equifax dh ’fhuiling a briseadh dàta mòr a nochd fiosrachadh pearsanta 147 millean neach-ceannach. Thàinig am briseadh bho So-leòntachd stealladh SQL, a’ leigeil le luchd-ionnsaigh làrach-lìn na companaidh a làimhseachadh agus faighinn gu dàta mothachail a tha air a stòradh san stòr-dàta. Feumaidh buidhnean dèanamh cinnteach gu bheil na siostaman aca a’ glanadh cuir-a-steach luchd-cleachdaidh gu ceart. Dh’ fhaodadh pasgadh cunbhalach agus tèarainteachd cheistean SQL casg a chuir air a’ chunnart seo.
Carson a tha e cudromach an-diugh? Tha so-leòntachd stealladh fhathast a’ toirt buaidh air aplacaidean lìn, APIan, agus sruthan-obrach leasachaidh le taic bho AI far a bheil cuir-a-steach neo-dhearbhaidh a’ ruighinn eadar-theangairean, stòran-dàta, no siostaman cùl-raoin.
4. Dealbhadh Neo-thèarainte (A04:2021)
Dè a th’ ann an Dealbhadh Neo-thèarainte?
Bidh Dealbhadh Neo-thèarainte a’ tachairt nuair a dh’fhàilligeas luchd-leasachaidh tèarainteachd a thoirt a-steach don chiad ìre dealbhaidh, agus cruthaichidh sin so-leòntachdan a tha duilich an càradh nas fhaide air adhart. Tha e doirbh na laigsean sin a cheartachadh aon uair ‘s gu bheil aplacaidean a’ ruighinn àrainneachdan riochdachaidh.
Leigheasan airson Dealbhadh mì-thèarainte
Cuir prionnsabalan dealbhaidh tèarainte agus modaladh bagairtean an sàs tràth ann am beatha an leasachaidh. Dèan measadh cunbhalach air an dealbhadh agad airson laigsean a dh’ fhaodadh a bhith ann agus ceartaich iad mus tig iad gu bhith nan cùisean èiginneach.
Xygeni's Application Security Posture Management (ASPM) a’ comharrachadh lochdan dealbhaidh a dh’fhaodadh a bhith ann mus urrainn do luchd-ionnsaigh brath a ghabhail orra, a’ dèanamh cinnteach gu bheil luchd-leasachaidh a’ cur tèarainteachd a-steach don toradh aca bhon toiseach.
Eisimpleir fìor-shaoghal
Eisimpleir nas ùire san t-saoghal fhìor de Dealbhadh mì-thèarainte 'S e an So-leòntachd Microsoft Exchange ProxyShell ann an 2021Rinn luchd-ionnsaigh brath air lochdan dealbhaidh ann an uidheaman dearbhaidh is smachd ruigsinneachd Microsoft Exchange, a’ leigeil leotha còd a ruith air astar air frithealaichean so-leònte. Cha robh na so-leòntachdan sin nan mearachdan cur an gnìomh, ach laigsean dealbhaidh bunaiteach a rinn brath comasach eadhon an dèidh do phìosan a bhith air an cur an sàs gu ceàrr. Tha an briseadh seo a’ cur cuideam air cho cudromach sa tha e tèarainteachd a thoirt a-steach aig ìre an dealbhaidh gus casg a chuir air so-leòntachdan bho bhith air an togail a-steach don t-siostam.
Carson a tha e cudromach an-diugh? Tha e doirbh agus daor laigsean tèarainteachd a chaidh a thoirt a-steach aig ìre an dealbhaidh a chàradh nas fhaide air adhart, gu h-àraidh ann an àrainneachdan leasachaidh dùthchasach don sgòth agus a tha ag atharrachadh gu luath.
5. Mearachd rèiteachaidh tèarainteachd (A05:2021)
Dè a th’ ann an mì-rèiteachadh tèarainteachd?
Bidh mì-rèiteachadh tèarainteachd a’ tachairt nuair a bhios luchd-ionnsaigh a’ gabhail brath air siostaman nach eil air an rèiteachadh gu ceart, leithid an fheadhainn a bhios a’ cleachdadh roghainnean bunaiteach no a’ fàgail phuirt neo-riatanach fosgailte. Tha mì-rèiteachadh fhathast mar aon de na prìomh adhbharan airson tachartasan tèarainteachd sgòthan agus aplacaidean.
Leigheasan airson Mì-dhealbhadh tèarainteachd
Dèan fèin-ghluasad air sgrùdaidhean rèiteachaidh le bhith a’ cleachdadh Bun-structair mar Chòd (IaC) agus sgrùdaidhean tèarainteachd cunbhalach a dhèanamh. Cùm na siostaman uile air an ùrachadh leis na badan as ùire.
Xygeni's IaC Security a’ sganadh airson mì-rèiteachadh mus tèid a chleachdadh agus a’ cur poileasaidhean tèarainteachd an gnìomh gu cunbhalach thar gach àrainneachd.
Eisimpleir fìor-shaoghal
Ann 2018, NASA air briseadh fhaighinn air sgàth roghainnean mì-rèiteachaidh in Atlassian JIRA Nochd dàta mothachail pròiseict is luchd-obrach. Fhuair luchd-ionnsaigh cothrom air an fhiosrachadh air sgàth an rèiteachaidh fhosgailte. Dh’ fhaodadh sgrùdaidhean tèarainteachd fèin-ghluasadach agus cur an gnìomh phoileasaidhean rèiteachaidh iomchaidh casg a chuir air a’ bhriseadh seo. Bhiodh sgrùdaidhean cunbhalach air an so-leòntachd a lorg mus do rinn na luchd-ionnsaigh brath air.
Carson a tha e cudromach an-diugh? Seirbheisean sgòthan mì-rèiteichte, CI/CD pipelineTha s, soithichean, agus eadar-aghaidhean rianachd fosgailte fhathast mar aon de na prìomh adhbharan airson briseadh tèarainteachd an latha an-diugh.
6. Pàirtean So-leònte agus Seann-fhasanta (A06:2021)
Dè a th’ ann am pàirtean so-leònte agus seann-fhasanta?
Bidh co-phàirtean so-leònte agus seann-fhasanta a’ tachairt nuair a chleachdas tu leabharlannan no frèamaichean treas-phàrtaidh le lochdan tèarainteachd aithnichte. Faodaidh luchd-ionnsaigh na so-leòntachd sin a chleachdadh gus an aplacaid agad a mhilleadh. Tha seo na chunnart gu sònraichte cunnartach, leis gu bheil suas ri 60% de thagraidhean an latha an-diugh air an togail le co-phàirtean treas-phàrtaidh.
Leigheasan airson Co-phàirtean so-leònte agus seann-fhasanta
Ùraich leabharlannan agus eisimeileachdan treas-phàrtaidh gu cunbhalach, agus cleachd Mion-sgrùdadh Co-dhèanamh Bathar-bog (SCA) innealan gus so-leòntachdan a lorg agus a chàradh.
Xygeni's Open Source Security a’ sganadh do eisimeileachdan gus casg a chuir air cleachdadh phàirtean seann-fhasanta no droch-rùnach, gad chuideachadh le bhith a’ cumail suas tagradh tèarainte.
Eisimpleir fìor-shaoghal
In 2017, Geamannan Apache bha so-leòntachd gun chàradh ann a lean gu Briseadh Equifax, a’ toirt buaidh air milleanan de luchd-cleachdaidh. Bha an so-leòntachd ann an Struts Apache 2, frèam-obrach a thathas a’ cleachdadh gu farsaing, agus dh’fhàillig Equifax am pasgan a chuir an sàs ann an àm. Dh’fhàg seo na siostaman aca fosgailte do dhroch-chleachdadh. Bhiodh ùrachaidhean ùineail agus sganadh cunbhalach air so-leòntachd air casg a chuir air a’ bhriseadh seo.
Carson a tha e cudromach an-diugh? Tha aplacaidean an latha an-diugh gu mòr an urra ri pacaidean stòr fosgailte agus leabharlannan treas-phàrtaidh, agus tha sin a’ fàgail ionnsaighean slabhraidh solair bathar-bog agus eisimeileachdan so-leònte nan dragh a tha a’ sìor fhàs ann an AppSec.
7. Fàilligidhean dearbhaidh (A07:2021)
Dè a th’ ann am fàilligidhean dearbhaidh is dearbhaidh?
Bidh na so-leòntachdan seo a’ tachairt nuair a bhios dòighean dearbhaidh lag no air an cur an gnìomh gu ceàrr, a’ leigeil le luchd-ionnsaigh smachdan tèarainteachd a sheachnadh.
Leigheasan airson Fàilligidhean dearbhaidh is dearbhaidh
Cuir poileasaidhean làidir facal-faire an gnìomh, cuir dearbhadh ioma-fhactar (MFA) an gnìomh, agus dèan sgrùdadh air logaichean dearbhaidh gus casg a chuir air ruigsinneachd gun chead.
Bidh Secrets Security aig Xygeni a’ cuideachadh le bhith a’ dìon do theisteanasan, a’ lughdachadh cunnart aodion rè a’ phròiseas dearbhaidh.
Eisimpleir fìor-shaoghal
In 2020, a ' Cearcall camara tèarainteachd B’ e faclan-faire lag a dh’adhbhraich an briseadh. Chleachd luchd-ionnsaigh faclan-faire sìmplidh agus fhuair iad cothrom air bhideothan beò bho mìltean de chamarathan luchd-cleachdaidhTha an briseadh seo a’ cur cuideam air an fheum èiginneach airson cleachdaidhean dearbhaidh nas làidire. Mar sin, a’ cur an gnìomh dearbhadh ioma-fhactaraidh (MFA) agus a' cur an gnìomh poileasaidhean facal-faire làidir bhiodh e air casg a chuir air ruigsinneachd gun chead gu furasta.
Carson a tha e cudromach an-diugh? Tha dòighean dearbhaidh lag fhathast a’ comasachadh gabhail thairis cunntasan, ionnsaighean lìonadh teisteanasan, agus ruigsinneachd gun chead thar SaaS, sgòthan, agus enterprise iarrtasan.
8. Fàilligidhean Ionracas Bathar-bog is Dàta (A08:2021)
Dè a th’ ann am fàilligidhean ionracas bathar-bog is dàta?
Bidh na so-leòntachdan seo a’ tachairt nuair nach eil còd no bun-structar a’ dìon an aghaidh mì-ghnàthachadh. Faodaidh luchd-ionnsaigh cron a dhèanamh air togail pipelines, eisimeileachdan, no pròiseasan cleachdaidh, a’ cur còd droch-rùnach a-steach do ùrachaidhean earbsach. Tha an seòrsa locht seo air a bhith na phrìomh adhbhar dragh air sgàth àrdachadh ionnsaighean slabhraidh solair, far a bheil eadhon co-phàirtean treas-phàrtaidh earbsach air an targaideadh gus lìonraidhean a shìoladh.
Leigheasan airson Fàilligidhean ionracais bathar-bog is dàta
Gus seo a lughdachadh, cuir an gnìomh soidhnigeadh còd, cleachd pròiseasan togail tèarainte, agus dearbhaich ionracas a h-uile pàirt treas-phàrtaidh.
Xygeni's CI/CD tèarainteachd a ’dèanamh cinnteach gu bheil do pipelineTha na siostaman tèarainte agus fo sgrùdadh airson ana-cainnt. Faodaidh Lorg-ana-cainnt Xygeni gnìomhachd amharasach a chomharrachadh a dh’ fhaodadh a bhith a’ nochdadh mì-ghnàthachadh.
Eisimpleir fìor-shaoghal
In 2024, ionnsaigh mhòr air an t-sèine solair air a targaideadh Cleachdaidhean XZ, leabharlann teannachaidh a thathas a’ cleachdadh gu farsaing ann an siostaman Linux. Tha XZ Utils na inneal deatamach a thathas a’ cleachdadh airson faidhlichean a dhlùthadh, agus tha mìltean de bhuidhnean an urra ris. Ach, shoirbhich le luchd-ionnsaigh pròiseas togail a’ phròiseict a mhilleadh le bhith a’ cur doras cùil a-steach don chòd.
Cha deach mothachadh a thoirt air na h-ionnsaighean airson greis, agus mar sin bha siostaman a bha an urra ris an leabharlann a chaidh a mhilleadh so-leònte ri bhith air an cur an gnìomh còd iomallach agus air an cleachdadh nas fhaide. Mar thoradh air an sin, fhuair na h-ionnsaighean sin smachd air na siostaman air an tug seo buaidh, agus mar thoradh air sin, chaidh briseadh dàta agus fiosrachadh mothachail a mhilleadh.
Tha an tachartas seo na chuimhneachan soilleir air na cunnartan a tha an lùib ionnsaighean slabhraidh solair. Faodar eadhon leabharlann earbsach a làimhseachadh gus iomadh siostam a mhilleadh. Le bhith a’ dèanamh cinnteach à pròiseasan togail tèarainte, a’ cleachdadh dhòighean-obrach soidhnidh còd, agus a’ cumail sùil leantainneach air co-phàirtean treas-phàrtaidh, faodaidh buidhnean casg a chuir air na so-leòntachdan sin bho bhith a’ dol a-steach don t-siostam aca.
Carson a tha e cudromach an-diugh? Ionnsaighean slabhraidh solair bathar-bog a tha ag amas air togail pipelines, clàran pacaid, eisimeileachdan, agus CI/CD Tha siostaman air a bhith na chunnart mòr do leasachadh bathar-bog an latha an-diugh.
9. Fàilligidhean Clàraidh is Sgrùdaidh Tèarainteachd (A09:2021)
Dè a th’ ann am fàilligidhean clàraidh is sgrùdaidh tèarainteachd?
Bidh na fàilligidhean seo a’ tachairt nuair nach bi aplacaidean a’ clàradh thachartasan tèarainteachd gu ceart no nach eil uidheaman sgrùdaidh aca. Às aonais logaichean mionaideach, bidh e duilich ionnsaighean a lorg agus freagairt dhaibh. Bidh na laigsean seo gu tric a’ cur dàil air lorg briseadh tèarainteachd, a’ leigeil le luchd-ionnsaigh siostaman a chleachdadh thar ùine mhòr.
Leigheasan airson Fàilligidhean Clàraidh is Sgrùdaidh Tèarainteachd
Cuir an comas clàradh coileanta airson a h-uile gnìomh èiginneach, stòraich logaichean gu tèarainte, agus dèan cinnteach gu bheilear gan sgrùdadh airson gnìomhachd amharasach. A bharrachd air sin, cleachd innealan fèin-ghluasadach gus rabhadh a thoirt dhut mu chunnartan a dh’ fhaodadh a bhith ann.
Lorgaireachd Neo-riaghailteachd Xygeni a’ cuideachadh le bhith ag aithneachadh ghnìomhachdan neo-àbhaisteach ann an àm fìor. A bharrachd air sin, CI/CD Bidh tèarainteachd a’ dèanamh cinnteach gu bheil rèiteachaidhean clàraidh is sgrùdaidh air an cur an sàs gu cunbhalach thar àrainneachdan.
Eisimpleir fìor-shaoghal
In 2023, über a dh’fhulaing briseadh dàta a chuir iad fiosrachadh pearsanta mìltean de dhraibhearan an cunnartThachair am briseadh nuair a bha companaidh lagha treas-phàrtaidh, Genova Burns, thachair tachartas tèarainteachd, a nochd an dàta. A dh’aindeoin gun deach rabhaidhean a chur an gnìomh, dh’fhàillig siostaman sgrùdaidh Uber an ionnsaigh a lorg agus freagairt a thoirt dhi gu sgiobalta.
Fhuair na h-ionnsaighearan cothrom air fiosrachadh mothachail, nam measg ainmean, àireamhan fòn, agus clàran dràibhidh. Bha an dàil seo sa mhòr-chuid mar thoradh air dìth clàraidh coileanta agus siostaman sgrùdaidh neo-iomchaidh.
Nam biodh Uber air sùil cheart a chumail air ruigsinneachd air na siostaman aige agus cleachdaidhean clàraidh nas fheàrr a chur an gnìomh, dh’ fhaodadh iad a bhith air an t-sàrachadh a lorg mòran na bu tràithe. Mar thoradh air an sin, dh’ fhaodadh a’ chompanaidh a bhith air milleadh cliù agus call ionmhais a lughdachadh. Tha an t-sàrachadh seo a’ cur cuideam air cho cudromach sa tha e siostaman clàraidh is sgrùdaidh èifeachdach a chumail suas gus bagairtean a lorg agus a lughdachadh tràth.
Carson a tha e cudromach an-diugh? Às aonais faicsinneachd agus sgrùdadh ceart, bidh e doirbh do bhuidhnean ionnsaighean a lorg tràth, agus mar sin bidh e comasach dhaibh fuireach gun a bhith air an lorg airson ùine mhòr.
10. Mì-chleachdadh Iarrtas Taobh an Fhrithealaiche (SSRF) (A10:2021)
Dè a th’ ann am foill-iarrtas taobh an fhrithealaiche?
Bidh SSRF a’ tachairt nuair a bhios luchd-ionnsaigh a’ mealladh frithealaiche gus iarrtasan a dhèanamh gu àiteachan gun dùil, gu tric a’ faighinn cothrom air seirbheisean a-staigh a bu chòir a bhith air an cuingealachadh. Leigidh an so-leòntachd seo le luchd-ionnsaigh faighinn gu dàta mothachail no òrdughan a chuir an gnìomh air siostaman a-staigh.
Leigheasan airson SSRF
Gus casg a chur air SSRF, dearbhaich a h-uile cuir-a-steach bhon neach-cleachdaidh agus cuir casg air comas an fhrithealaiche iarrtasan a-mach a dhèanamh. A bharrachd air sin, cleachd liostaichean ceadaichte gus smachd a chumail air dè na URLan as urrainn don fhrithealaiche faighinn thuca.
Xygeni's CI/CD Bidh tèarainteachd a’ cuideachadh le bhith a’ cumail sùil air pipelineairson so-leòntachdan SSRF a dh’fhaodadh a bhith ann. A bharrachd air sin, faodaidh Lorgaireachd Neo-riaghailteachd Xygeni pàtrain iarrtasan ris nach robh dùil no amharasach a ghlacadh.
Eisimpleir fìor-shaoghal
In 2022, so-leòntachd mhòr ann an Microsoft Exchange (CVE-2022-41040) chaidh a chleachdadh le luchd-ionnsaigh a’ cleachdadh dhòighean SSRF. Bha luchd-ionnsaigh comasach air iarrtasan droch-rùnach a chuir chun fhrithealaiche Exchange, a’ seachnadh dìonan tèarainteachd a-staigh.
Aon uair ’s gun robh iad a-staigh, fhuair luchd-ionnsaigh cothrom air siostaman a-staigh agus chuir iad dàta mothachail an cunnart. Le bhith a’ cleachdadh SSRF, fhuair iad cothrom gun chead air goireasan a-staigh cuibhrichte, agus mar thoradh air sin, chaidh briseadh tèarainteachd mòr a dhèanamh.
Tha so-leòntachdan SSRF gu sònraichte cunnartach leis gu bheil iad a’ toirt cothrom do luchd-ionnsaigh air siostaman a-staigh nach bu chòir a bhith fosgailte don phoball. Nam biodh Microsoft air dearbhadh cuir-a-steach agus cuingealachaidhean iarrtasan a-mach nas cruaidhe a chuir an sàs, dh’ fhaodadh iad a bhith air casg a chuir air oidhirpean an luchd-ionnsaigh an so-leòntachd seo a chleachdadh. Tha an briseadh seo a’ sealltainn cho cudromach sa tha e smachd a chumail air iarrtasan frithealaiche gu goireasan a-staigh mothachail agus dèanamh cinnteach nach urrainn ach do stòran earbsach, dearbhte eadar-obrachadh leotha.
Carson a tha e cudromach an-diugh? Tha ailtireachd dhùthchasach don sgòth agus APIan a-staigh air buaidh so-leòntachd SSRF a mheudachadh, a bhios luchd-ionnsaigh a’ cleachdadh gus faighinn gu seirbheisean a-staigh mothachail agus siostaman meata-dhàta.
Carson a tha na 10 as fheàrr aig OWASP fhathast cudromach
Tha 10 prìomh laigsean OWASP Tha iad deatamach do bhuidhnean a tha ag amas air na h-aplacaidean aca a dhìon bho na bagairtean as cumanta agus as cunnartaiche. Chan eil na cunnartan seo teòiridheach; tha iad a’ riochdachadh cunnartan san t-saoghal fhìor a dh’ fhaodadh leantainn gu briseadh dàta, call ionmhais, agus milleadh cliù. Le bhith a’ dèiligeadh ris na so-leòntachd sin gu gnìomhach, faodaidh buidhnean cunnart ionnsaighean soirbheachail a lughdachadh gu mòr agus dèanamh cinnteach gu bheil na siostaman aca seasmhach an aghaidh bagairtean a tha a’ sìor fhàs.
A bharrachd air sin, bidh cur an gnìomh nan leigheasan a thathar a’ moladh ann an liosta nan 10 so-leòntachdan as fheàrr ann an OWASP a’ cuideachadh bhuidhnean gus dòigh-obrach ro-innleachdail a ghabhail a thaobh tèarainteachd. Mar eisimpleir, tha neartachadh smachd ruigsinneachd, tèarainteachd chleachdaidhean crioptachaidh, agus lughdachadh chunnartan slabhraidh solair uile a’ cluich phàirtean deatamach ann a bhith a’ dèiligeadh ris na so-leòntachdan sin. Mar thoradh air an sin, bidh buidhnean a’ lughdachadh uachdar an ionnsaigh, ga dhèanamh nas duilghe do luchd-ionnsaigh brath a ghabhail air laigsean san t-siostam.
Mar a bhios bagairtean saidhbear ag atharrachadh, tha e riatanach do bhuidhnean fuireach air thoiseach air so-leòntachdan a dh’fhaodadh a bhith ann. Le bhith a’ gabhail ceumannan tràth, bidh buidhnean a’ dèanamh cinnteach à dìon fad-ùine airson an aplacaidean agus a’ cumail earbsa an luchd-cleachdaidh.
A bharrachd air na 10 so-leòntachdan traidiseanta aig OWASP, tha buidhnean a’ sìor fhàs an aghaidh phasganan stòr fosgailte droch-rùnach, ionnsaighean troimh-chèile eisimeileachd, iomairtean typosquatting, còd mì-thèarainte a chaidh a chruthachadh le AI, CI/CD pipeline co-rèiteachadh, foillseachadh dhìomhaireachdan, agus malware slabhraidh solair bathar-bog.
Bidh prògraman AppSec ùr-nodha a’ sìor fhàs a’ cothlamadh stiùireadh OWASP le software supply chain security, tèarainteachd AI, agus mion-sgrùdadh cunnairt aig àm ruith gus dèiligeadh ri uachdaran ionnsaigh a tha ag atharrachadh.
Mar a tha Xygeni a’ toirt taic do iomairtean OWASP agus OWASP SAMM
A ’dèiligeadh ris an 10 prìomh laigsean OWASP deatamach airson aplacaidean lìn a dhèanamh tèarainte. Ach, chan eil tèarainteachd an tagraidh agad a’ stad an sin. Modail Aibidh Dearbhaidh Bathar-bog OWASP (SAMM) a’ toirt seachad frèam-obrach airson measadh a dhèanamh air agus leasachadh a dhèanamh air inbheachd tèarainteachd thar cearcall-beatha leasachaidh bathar-bog (SDLC). Le bhith ag amalachadh Innealan tèarainteachd coileanta Xygeni, chan e a-mhàin gun urrainn do bhuidhnean lughdachadh a dhèanamh air an 10 prìomh laigsean tèarainteachd OWASP ach cuideachd an inbheachd tèarainteachd iomlan a neartachadh, mar a tha air a mhìneachadh le OWASP SAMM.
A’ neartachadh tèarainteachd thagraidhean le Xygeni
Tha Xygeni a’ toirt cumhachd do bhuidhnean dèiligeadh ris an liosta de na 10 prìomh so-leòntachdan ann an OWASP fhad ’s a tha iad a’ luathachadh gabhail ri OWASP SAMM, a’ cuideachadh bhuidhnean gus leasachadh leantainneach a dhèanamh air inbheachd tèarainteachd bathar-bog. Le bhith ag fèin-ghluasad smachdan tèarainteachd, a’ comasachadh prìomhachas stèidhichte air cunnart, agus a’ neartachadh riaghladh thachartasan, bidh Xygeni a’ cuideachadh bhuidhnean gus bathar-bog tèarainte, seasmhach a thogail, a’ lughdachadh cunnart briseadh tèarainteachd gu h-èifeachdach.
Tro sgrùdadh fìor-ùine, lorg so-leòntachd fèin-ghluasadach, agus cur an gnìomh poileasaidh air feadh an SDLC, Bidh Xygeni a’ sìmpleachadh oidhirpean tèarainteachd is gèillidh, a’ co-thaobhadh ri cleachdaidhean as fheàrr OWASP SAMM. Leigidh seo le buidhnean an ìre tèarainteachd aca a leasachadh mean air mhean, le mapa-rathaid soilleir airson leasachadh leantainneach.
Gabh gnìomh a-nis gus na tagraidhean agad a dhèanamh tèarainte
Tha 10 prìomh laigsean OWASP a’ soilleireachadh nan cunnartan tèarainteachd as cudromaiche a tha mu choinneamh aplacaidean an latha an-diugh. Le bhith a’ leantainn an Stiùiridhean OWASP agus a’ cur an gnìomh nan deagh chleachdaidhean a tha air an comharrachadh an seo, faodaidh tu dìon do bhuidhinn an aghaidh nan cunnartan seo agus aplacaidean a thogail a sheasas an aghaidh ionnsaighean iom-fhillte.
Neartaich Tèarainteachd an Tagraidh agad agus Software Supply Chain Security.
Feumaidh aplacaidean an latha an-diugh barrachd air sganadh so-leòntachd traidiseanta. Xigin a’ cuideachadh bhuidhnean gus na 10 prìomh chunnartan OWASP a chomharrachadh, a phrìomhachadh agus a leigheas thar còd tùsail, eisimeileachdan stòr fosgailte, CI/CD pipelines, bun-structar sgòthan, agus sruthan-obrach leasachaidh le taic bho AI.
Faigh a-mach mar a chuidicheas Xygeni sgiobaidhean AppSec agus DevSecOps gus cunnart a lughdachadh air feadh an latha an-diugh. SDLC!
