OWASP Top 10 bụ otu n'ime ntụaka nchekwa ngwa kachasị eji eme ihe maka ịchọpụta na ibelata ihe egwu nchekwa ngwa weebụ kachasị njọ. Nduzi a na-akọwa ihe egwu iri kachasị elu nke OWASP, ihe atụ ụwa n'ezie, omume kachasị mma maka ndozi, na otu esi eji AppSec nke oge a na software supply chain security ngwọta na-enyere òtù aka ibelata ihe egwu n'ofe SDLC.
Ọrụ Nchekwa Ngwa Weebụ Mepee (OWASP)
Ọrụ Nchekwa Ngwa Weebụ Mepee emepe (OWASP) bụ otu nzukọ na-abụghị nke uru nke a ma ama nke raara onwe ya nye imeziwanye nchekwa ngwanrọ. A maara OWASP maka nghọta ya na nghọta ya na commitUsoro a na-enye aka na ngwọta ndị obodo na-achịkwa, nke emeela ka ọ bụrụ ihe a na-ahụkarị maka ndị mmepe, ndị ọkachamara nchekwa, na òtù dị iche iche na-achọ ịgbaso usoro nchekwa kacha mma. N'ime ọtụtụ onyinye ya, otu n'ime ihe ndị kacha pụta ìhè bụ OWASP Top 10, ndepụta emelitere mgbe niile nke ihe egwu nchekwa ngwa weebụ kachasị mkpa na-emetụta ngwa ọgbara ọhụrụ. Ọ na-egosipụta adịghị ike kachasị njọ na ngwa weebụ, dabere na data ụwa n'ezie na nghọta ọkachamara.
Ọrụ OWASP bụ ime ka nchekwa dị mfe ma doo anya, na-enye ngwaọrụ, usoro, na ihe ọmụma iji nyere aka chekwaa ngwa site na mmalite. OWASP Top 10 na-arụ ọrụ dị ka usoro bara uru iji nyere ndị mmepe aka ilekwasị anya na adịghị ike ndị kacha mkpa, na-ahụ na ha nwere ike itinye ngwọta dị mkpa n'ọrụ nke ọma.
Ndị OWASP kacha elu iri
OWASP Top 10 bụ isi ihe nchekwa ngwa maka òtù dị iche iche na-echekwa ngwa weebụ ọgbara ọhụrụ. Maka òtù ọ bụla na-arụ ọrụ iji chekwaa ngwa weebụ. Ọ na-akọwapụta ihe iyi egwu nchekwa kachasị njọ, na-enye nghọta n'ụzọ ndị a na-ahụkarị esi emebi ngwa. Nsogbu OWASP Top 10 na-egosipụta ihe egwu ndị a kacha elu, na-enye ndụmọdụ ndị a pụrụ ime iji belata ha. Ịgwọ nsogbu ndị a ozugbo dị mkpa iji mee ka nchekwa nke ngwa ọ bụla sikwuo ike.
Kedu ihe bụ OWASP Top 10 na ọgwụgwọ ha?
OWASP Top 10 bụ akwụkwọ mmata a ma ama n'ụwa niile nke Open Web Application Security Project (OWASP) bipụtara. Ọ na-achọpụta ihe egwu nchekwa kachasị njọ na-emetụta ngwa weebụ ọgbara ọhụrụ dabere na data mwakpo ụwa n'ezie, nyocha obodo, na nyocha ụlọ ọrụ. Ndepụta a na-enyere ndị mmepe, ndị otu AppSec, ndị injinia DevSecOps, na ndị isi nchekwa aka ibute ihe ndị na-adịghị ike nke na-etinye ihe egwu kachasị na ngwa, API, na usoro ọkọnọ ngwanrọ ụzọ.
OWASP Top 10 dị ugbu a gụnyere ụdị nchekwa dịka Njikwa Nweta Emebi, Ntụtụ, Nhazi Na-adịghị Mma nke Nchekwa, Akụkụ Ndị Na-adịghị Ike na Ndị Gara Aga, Mmebi Nkwenye Ngwanrọ na Data, na Arịrịọ Arịrịọ Sava-Side (SSRF). Ịghọta ihe egwu ndị a na itinye usoro ndozi kwesịrị ekwesị n'ọrụ dị oke mkpa maka iwulite ngwa nchekwa, ibelata ikpughe nchekwa ngwanrọ, na ichebe òtù megide iyi egwu cyber nke oge a.
Nkeji iri kachasị elu nke OWASP
Nleba anya nke ihe iri kachasị njọ na OWASP
| Ụdị OWASP | Ihe ize ndụ nke mbụ | Mmetụta ahụkarị |
|---|---|---|
| Njikwa nnweta agbajiri | Nnweta na -enwetaghị ikike | Mkpughe data |
| Mmebi nke Cryptographic | Ihe nzuzo adịghị ike | Ohi data nwere mmetụta |
| Ọgwụ | Mmezu ntinye ọjọọ | Nkwekọrịta nchekwa data |
| Nhazi Enweghị Nchekwa | Adịghị ike nke ihe owuwu ụlọ | Nsogbu niile gbasara sistemụ |
| Nche Ndozi | Ntọlite ezighi ezi | Nnweta na -enwetaghị ikike |
| Ngwa ndị na-adịghị ike | Ndabere ndị ochie | Nkwekọrịta nke usoro ọkọnọ |
| Ọdịmma nyocha | Njikwa njirimara adịghị ike | Iweghara akaụntụ |
| Mmebi nke Nguzosi Ike n'Ezi Ngwanrọ | Mmebi iwu ụlọ/ndụmọdụ | Itinye malware |
| Ndekọ na Nlekota Mmebi | Nchọpụta egbu oge | Ogologo oge onye na-awakpo nọrọ ogologo oge |
| SSRF | Mmebi iwu nke arịrịọ dị n'ime | Nkwekọrịta ọrụ dị n'ime |
1. Njikwa Nnweta Emebisiri (A01:2021)
Kedu ihe bụ Njikwa Nnweta Agbajiri agbaji?
Njikwa Nnweta Emebiwo Emebi na-eme mgbe ndị ọrụ nwetara ohere ịnweta data ma ọ bụ ihe omume na-enweghị ikike. Dịka ọmụmaatụ, onye mwakpo nwere ike ịgbanwe URL iji nweta ohere nchịkwa. OWASP chọtara nsogbu a na 94% nke ngwa anwalere, na-eme ka ọ bụrụ otu n'ime nsogbu nchekwa OWASP kachasị elu iri.
Ngwọta maka Njikwa Nnweta Gbajiri Agbaji
Iji belata ihe egwu a, manye ohere ịnweta ihe kacha nta, tinye nkwenye ihe dị iche iche (MFA) maka ọrụ ndị dị mkpa, ma nyochaa ikike ndị ọrụ mgbe niile.
Nchekwa Nzuzo nke Xygeni na-enyere aka ichekwa ozi dị mkpa dịka igodo API na ihe nrịbama, na-ebelata ihe egwu nke mmebi iwu njikwa ohere. Nlekota na-aga n'ihu na-eme ka sistemụ gị guzosie ike.
Ihe Nlereanya Rael-World
In 2019, Ụlọ ọrụ First American Financial Corp ekpughere n'elu Ndekọ dị nro nde 850 n'ihi njikwa nnweta na-ekwesịghị ekwesị. Ndị na-awakpo nwere ike ịgbanwe URL iji nweta akwụkwọ nzuzo. Site n'ileghara anya ịchekwa ebe nnweta nke ọma, ụlọ ọrụ ahụ hapụrụ data dị mkpa ka ọ ghara ịdị mfe. Ihe a merenụ na-emesi ike mkpa ọ dị ịkwado ọrụ ndị ọrụ ma hụ na naanị ndị nwere ikike nwere ike ịnweta ozi dị mkpa.
Gịnị mere o ji dị mkpa taa? Ngwa ọgbara ọhụrụ na-ekpughe API, ọrụ igwe ojii, na ọrụ ndị ọrụ kesara, na-eme ka ohere ịnweta n'enweghị ikike bụrụ otu n'ime ihe egwu nchekwa kachasị na-emerụ ahụ na-emetụta data azụmaahịa dị mkpa.
2. Mmebi nke Cryptographic (A02:2021)
Kedu ihe bụ ọdịda nke Cryptographic?
Mmebi nke ihe odide nzuzo na-eme mgbe sistemụ anaghị ezochi data dị mkpa nke ọma, nke na-enye ndị mwakpo ohere igbochi ma jiri ya mee ihe n'ụzọ na-ezighị ezi. Nzochi siri ike dị mkpa maka ichekwa data dị mkpa.
Ngwọta maka Mmebi nke Cryptographic
Jiri AES-256 zoo data echekwara ma mee ka TLS 1.2 ma ọ bụ karịa dị na ya maka data na-aga n'ihu. Na-atụgharị igodo nzuzo mgbe niile ma jiri njikwa nnweta kwesịrị ekwesị chekwaa ha.
Akụrụngwa Xygeni dị ka Koodu (IaC) Nchekwa na-enyocha ntọala nzuzo n'oge a na-etinye ya iji gbochie adịghị ike na amụma nzuzo.
Ihe Nlereanya n'ezie n'ụwa
Na 2017, Exactis, ụlọ ọrụ nchịkọta data, ekpughere nde 340 nke ndekọ nkeonwe n'ihi nzochi ozi na-ezighi ezi. Ndị mwakpo nwetara ozi nkeonwe dịka aha, adreesị, na nọmba ekwentị n'ihi na echekwara data ahụ na ederede nkịtị. Njehie a na-egosi ihe egwu dị na ịghara izochi data dị mkpa. Site n'itinye nzochi ozi kwesịrị ekwesị. standardDịka ọmụmaatụ, AES-256 maka data n'oge ezumike na TLS maka data n'oge njem, òtù dị iche iche nwere ike ichebe data ha pụọ na ohere na-enweghị ikike.
Gịnị mere o ji dị mkpa taa? Ụlọ ọrụ dị iche iche na-echekwa ma na-ebufe data ndị ahịa dị nro, ego, na nkwenye n'ofe gburugburu igwe ojii, na-eme ka nzuzo siri ike dị mkpa maka ichekwa nzuzo na nrubeisi.
3. Ọgwụ ịgba ọgwụ (A03:2021)
Kedu ihe bụ mwakpo ọgwụ?
Nsogbu dị na ịgba ọgwụ, dịka SQL Injection, na-enye ndị mwakpo ohere itinye koodu ọjọọ n'ime sistemụ gị, na-enye ha ohere ịchịkwa ma ọ bụ zuru data. Mwakpo ịgba ọgwụ ka bụ otu n'ime ihe egwu nchekwa ngwa kachasị emetụta ma na-emetụta ngwa weebụ nke oge a.
Ọgwụgwọ maka Mwakpo injection
Jiri ajụjụ ndị e tinyere paramita ma gosipụta ntinye ndị ọrụ. Zere ajụjụ ndị na-agbanwe agbanwe mgbe ọ bụla o kwere mee iji belata ihe egwu.
Nchọpụta Nsogbu Xygeni Monitors CI/CD pipelinemaka omume na-adịghị mma, ijide mgbalị ndị nwere ike ịgba ọgwụ n'oge.
Ihe Nlereanya n'ezie n'ụwa
In 2017, Equifax tara ahụhụ a nnukwu mmebi data nke kpughere ozi nkeonwe nke Ndị ahịa nde 147. Mmebi ahụ sitere na Enweghị ike itinye SQL n'ime ọgwụ, na-enye ndị na-awakpo ohere ịchịkwa weebụsaịtị ụlọ ọrụ ahụ ma nweta data dị mkpa echekwara na nchekwa data ahụ. Ndị otu ga-ahụ na sistemụ ha na-ehicha ihe ndị ọrụ nke ọma. Ịdozi na ịchekwa ajụjụ SQL mgbe niile gaara egbochi adịghị ike a.
Gịnị mere o ji dị mkpa taa? Nsogbu ndị a na-enweta n'ịgba ọgwụ na-aga n'ihu na-emetụta ngwa weebụ, API, na usoro mmepe enyere aka na AI ebe ntinye aka na-enweghị nkwenye ruru ndị ntụgharị okwu, nchekwa data, ma ọ bụ sistemụ azụ.
4. Nhazi Enweghị Nchekwa (A04:2021)
Gịnị bụ Nhazi Enweghị Nchekwa?
Nhazi Enweghị Nchekwa na-eme mgbe ndị mmepe enweghị ike itinye nchekwa n'ime usoro nhazi mbụ, nke na-emepụta adịghị ike nke siri ike idozi ma emechaa. Adịghị ike ndị a na-esi ike idozi ozugbo ngwa ruru ebe mmepụta.
Ọgwụgwọ maka Nhazi Enweghị Nchekwa
Tinye ụkpụrụ imewe dị nchebe na ihe nlereanya iyi egwu na mbido usoro mmepe. Na-enyocha imewe gị mgbe niile maka adịghị ike ndị nwere ike ime ma dozie ha tupu ha aghọọ nsogbu dị oke mkpa.
Xygeni's Application Security Posture Management (ASPM) na-achọpụta ntụpọ ndị nwere ike ime na nhazi tupu ndị mwakpo enwee ike iji ha mee ihe, na-eme ka ndị mmepe tinye nchekwa na ngwaahịa ha site na mmalite.
Ihe Nlereanya n'ezie n'ụwa
Ihe atụ ụwa n'ezie nke kachasị ọhụrụ Nhazi Enweghị Nchekwa bụ Nsogbu Microsoft Exchange ProxyShell na 2021Ndị mwakpo jiri ntụpọ imewe dị na usoro nyocha na njikwa ohere nke Microsoft Exchange mee ihe, na-enye ha ohere ime koodu n'ebe dị anya na sava ndị na-adịghị ike. Nsogbu ndị a abụghị mmejọ mmejuputa, kama ha bụ adịghị ike nhazi dị mkpa nke mere ka o kwe omume irite uru ọbụlagodi mgbe etinyere patches na-ezighi ezi. Mmebi a na-egosi mkpa ọ dị ijikọta nchekwa na usoro nhazi iji gbochie adịghị ike ịbanye na sistemụ ahụ.
Gịnị mere o ji dị mkpa taa? Adịghị ike nchekwa ewepụtara n'oge nhazi ahụ siri ike ma dịkwa oke ọnụ idozi ma emechaa, ọkachasị n'ebe mmepe na-agbanwe agbanwe ngwa ngwa.
5. Nhazi na-ezighi ezi nke nchekwa (A05:2021)
Gịnị bụ nhazihie nchekwa?
Nchekwa Nhazi adịghị mma na-eme mgbe ndị mwakpo na-eji sistemụ ndị a haziri nke ọma eme ihe, dịka ndị na-eji ntọala ndabara ma ọ bụ na-ahapụ ọdụ ụgbọ mmiri na-enweghị isi mepere emepe. Nhazi adịghị mma ka bụ otu n'ime ihe ndị kacha akpata nsogbu nchekwa igwe ojii na ngwa.
Ọgwụgwọ maka Nche Ndozi
Nyocha nhazi akpaaka site na iji Akụrụngwa dị ka koodu (IaC) ma na-eme nyocha nchekwa mgbe niile. Mee ka sistemụ niile dị ọhụrụ site na iji ihe ndị kachasị ọhụrụ emelite.
Xygeni's IaC Security na-enyocha maka nhazi na-ezighi ezi tupu etinye ya ma na-eme ka iwu nchekwa na-aga n'ihu n'ofe gburugburu ebe niile.
Ihe Nlereanya n'ezie n'ụwa
Na 2018, NASA nwetara nsogbu n'ihi na ntọala ezighi ezi in JIRA Atlassian Ọrụ na data ndị ọrụ dị mkpa ekpughere. Ndị wakporo na-enweta ozi ahụ n'ihi nhazi mepere emepe. Nlele nchekwa akpaaka na mmejuputa iwu nhazi kwesịrị ekwesị gaara egbochi mmebi a. Nnyocha oge niile gaara achọpụta adịghị ike tupu ndị wakporo emee ihe ọjọọ ahụ.
Gịnị mere o ji dị mkpa taa? Ọrụ igwe ojii na-ezighi ezi, CI/CD pipelines, akpa, na njikọ nchịkwa ekpughere ka bụ otu n'ime ihe ndị kacha akpata mmebi nchekwa nke oge a.
6. Ihe Ndị Dị Ike na Ndị Gara Aga (A06:2021)
Kedu ihe ndị dị na ya na ihe ndị merela ochie?
Ihe ndị na-adịghị ike na ndị ochie na-eme mgbe ị na-eji ọbá akwụkwọ ma ọ bụ usoro ndị ọzọ nwere ntụpọ nchekwa amaara. Ndị na-awakpo nwere ike iji adịghị ike ndị a mebie ngwa gị. Nke a bụ ihe iyi egwu dị oke egwu, ebe ọ bụ na ihe ruru 60% nke ngwa ọgbara ọhụrụ ejiri ihe ndị ọzọ rụọ.
Ọgwụgwọ maka Akụkụ Ndị Na-adịghị Ike na Ndị Gara Aga
Na-emelite ọbá akwụkwọ na ihe ndị ọzọ dabere na ya mgbe niile, ma jiri Nyocha Ngwanrọ (Software Composition Analysis)SCA) ngwaọrụ iji chọpụta ma dozie adịghị ike.
Xygeni's Open Source Security Na-enyocha ihe ndị ị na-adabere na ha iji gbochie iji ihe ochie ma ọ bụ ihe ọjọọ, na-enyere gị aka idobe ngwa echekwara.
Ihe Nlereanya n'ezie n'ụwa
In 2017, Apache Struts nwere adịghị ike na-enweghị ngwọta nke dugara na Mmebi Equifax, na-emetụta ọtụtụ nde ndị ọrụ. Enweghị ike dị na Apache Struts 2, usoro eji eme ihe nke ukwuu, Equifax enweghịkwa ike itinye patch ahụ n'oge. Nke a mere ka sistemụ ha pụta ìhè maka mmegbu. Mmelite oge na nyocha adịghị ike mgbe niile gaara egbochi mmebi a.
Gịnị mere o ji dị mkpa taa? Ngwa ọgbara ọhụrụ na-adabere nke ukwuu na ngwugwu mepere emepe na ọbá akwụkwọ ndị ọzọ, na-eme ka mwakpo usoro ọkọnọ ngwanrọ na ịdabere na ndị na-adịghị ike bụrụ nchegbu AppSec na-eto eto.
7. Mmebi nke Nyocha (A07:2021)
Kedu ihe bụ ọdịda njirimara na nkwenye?
Nsogbu ndị a na-eme mgbe usoro nyocha adịghị ike ma ọ bụ e tinyere ha n'ọrụ nke ọma, nke na-enye ndị na-awakpo ohere ịgafe njikwa nchekwa.
Ọgwụgwọ maka Mmebi nke Nchọpụta na Nyocha
Mee iwu siri ike gbasara paswọọdụ, manye nkwenye ọtụtụ ihe (MFA), ma nyochaa ndekọ nkwenye iji gbochie ohere ịnweta na-enweghị ikike.
Nchekwa Nzuzo nke Xygeni na-enyere aka ichekwa asambodo gị, na-ebelata ihe egwu nke ntapu mmiri n'oge usoro nyocha.
Ihe Nlereanya n'ezie n'ụwa
In 2020, na Igwefoto nchekwa mgbanaka Mmebi iwu ahụ bụ okwuntughe na-adịghị ike kpatara ya. Ndị mwakpo jiri okwuntughe dị mfe ma nweta ohere ịnweta vidiyo dị ndụ site na ọtụtụ puku igwefoto ndị ọrụMmebi iwu a na-egosi mkpa dị oke mkpa maka omume nkwenye siri ike. Ya mere, itinye n'ọrụ Nyocha ọtụtụ ihe (MFA) na mmanye atumatu okwuntughe siri ike gaara egbochi ohere ịnweta ikike na-enweghị ikike ngwa ngwa.
Gịnị mere o ji dị mkpa taa? Usoro nyocha adịghị ike na-aga n'ihu na-eme ka nnata akaụntụ, mwakpo mkpofu akwụkwọ ikike, na ohere na-enweghị ikike gafee SaaS, ígwé ojii, na enterprise ngwa.
8. Mmebi nke Ngwanrọ na Data (A08:2021)
Kedu ihe bụ ọdịda nke ngwanrọ na data eguzosi ike n'ezi ihe?
Nsogbu ndị a na-eme mgbe koodu ma ọ bụ akụrụngwa anaghị echebe megide mmebi. Ndị na-awakpo nwere ike imebi ihe owuwu ahụ. pipelines, dabere, ma ọ bụ usoro ntinye, na-etinye koodu ọjọọ n'ime mmelite ntụkwasị obi. Ụdị ntụpọ a aghọọla nnukwu nchegbu n'ihi mmụba nke mwakpo usoro ọkọnọ, ebe a na-elekwasị anya ọbụna akụkụ ndị ọzọ a tụkwasịrị obi iji banye na netwọk.
Ọgwụgwọ maka Mmebi nke Ngwanrọ na Data
Iji belata nke a, tinye aka na koodu, jiri usoro owuwu nchekwa, ma chọpụta iguzosi ike n'ezi ihe nke akụkụ ndị ọzọ niile.
Xygeni's CI/CD Security na-emesi gị ike pipelineA na-echekwa s ma na-enyocha ha maka ihe ndị na-adịghị mma. Nchọpụta Anomaly nke Xygeni nwere ike ịchọpụta ihe ndị a na-enyo enyo nke nwere ike igosi mmebi.
Ihe Nlereanya n'ezie n'ụwa
In 2024, mwakpo dị mkpa nke usoro ọkọnọ ebumpụta ụwa Ngwa XZ, ọbá akwụkwọ mkpakọ a na-ejikarị eme ihe na sistemụ Linux. XZ Utils bụ ngwaọrụ dị mkpa eji eme mkpakọ faịlụ, nke ọtụtụ puku òtù tụkwasịrị obi. Agbanyeghị, ndị wakporo mebiri usoro nrụpụta ọrụ ahụ nke ọma site n'itinye ụzọ azụ na koodu ahụ.
Ndị mwakpo ahụ apụtaghị ruo oge ụfọdụ, nke pụtara na sistemụ ndị dabere na ọbá akwụkwọ e mebiri emebi nwere ike ịnweta mmegbu koodu dịpụrụ adịpụ ma mesoo ha ọzọ. N'ihi ya, ndị mwakpo a nwetara njikwa na sistemụ ndị metụtara, nke butere mmebi data na mmebi nke ozi dị mkpa.
Ihe a merenụ na-echetara anyị ihe egwu dị na ya mbuso agha agbụ ọkọnọ. A pụrụ iji ọbụna ọbá akwụkwọ a tụkwasịrị obi nke ukwuu mebie ọtụtụ sistemụ. Site n'ịhụ na usoro owuwu dị nchebe, iji usoro ịbanye koodu, na nlekota ihe ndị ọzọ na-eme mgbe niile, òtù dị iche iche nwere ike igbochi adịghị ike ndị dị otú ahụ ịbanye na sistemụ ha.
Gịnị mere o ji dị mkpa taa? Mwakpo ngwanrọ ọkọnọ agbụ na-awakpo ihe owuwu ahụ pipelines, ndekọ ngwugwu, ihe ndị dabere na ya, na CI/CD sistemụ aghọwo nnukwu ihe egwu maka mmepe ngwanrọ nke oge a.
9. Mmebi nke Ndekọ na Nleba Anya Nchekwa (A09:2021)
Kedu ihe bụ ọdịda nke ndekọ na nlekota nchekwa?
Mmebi ndị a na-eme mgbe ngwa anaghị edekọ ihe gbasara nchekwa nke ọma ma ọ bụ enweghị usoro nlekota. Ọ bụrụ na ọ nweghị ndekọ zuru ezu, ịchọpụta na ịzaghachi mwakpo na-esi ike. Adịghị ike ndị a na-egbu oge nchọpụta mmebi iwu, na-enye ndị mwakpo ohere iji sistemụ mee ihe ruo ogologo oge.
Ọgwụgwọ maka Mmebi nke Ndekọ na Nleba Anya Nchekwa
Mee ka ndekọ zuru oke maka ihe niile dị mkpa, chekwaa ndekọ ahụ nke ọma, ma hụ na a na-enyocha ha maka ihe ndị a na-enyo enyo. Ọzọkwa, jiri ngwaọrụ akpaaka mee ka ị mara ihe egwu nwere ike ịpụta.
Nchọpụta Nsogbu Xygeni na-enyere aka ịchọpụta ihe omume ndị na-adịghị ahụkebe n'oge. CI/CD Nchekwa na-eme ka a na-etinye nhazi ndekọ na nlekota mgbe niile n'ofe gburugburu.
Ihe Nlereanya n'ezie n'ụwa
In 2023, über nwetara mmebi data nke mebiri ozi nkeonwe nke ọtụtụ puku ndị ọkwọ ụgbọalaMmebi iwu ahụ mere mgbe ụlọ ọrụ iwu nke atọ, Genova Burns, nwetara ihe mberede nchekwa, nke na-ekpughe data ahụ. N'agbanyeghị na a kpaliri ịdọ aka ná ntị, sistemụ nlekota Uber enweghị ike ịchọpụta ma zaghachi mwakpo ahụ ozugbo.
Ndị mwakpo ahụ nwetara ohere ịnweta ozi dị mkpa, gụnyere aha, nọmba ekwentị, na ndekọ ụgbọala. Nkwụsịtụ a bụ isi n'ihi enweghị ndekọ zuru oke na usoro nlekota zuru oke.
A sị na Uber lebara anya nke ọma n'otú e si enweta sistemụ ya ma tinye usoro ndekọ osisi ka mma, ha gaara achọpụta mmebi ahụ ngwa ngwa. N'ihi ya, ụlọ ọrụ ahụ gaara ebelata mmebi aha na mfu ego. Mmebi a na-egosi mkpa dị mkpa nke ịnọgide na-enwe usoro ndekọ osisi na nlekota dị irè iji chọpụta ma belata ihe iyi egwu n'oge.
Gịnị mere o ji dị mkpa taa? Ọ bụrụ na a hụghị ihe na-eme, òtù dị iche iche na-agbasi mbọ ike ịchọpụta mwakpo n'oge, nke na-eme ka ndị na-awakpo ghara ịhụ ha ruo ogologo oge.
10. Arịrịọ adịgboroja nke akụkụ sava (SSRF) (A10:2021)
Gịnị bụ adịgboroja arịrịọ n'akụkụ sava?
SSRF na-eme mgbe ndị mwakpo na-aghọgbu sava ka ha rịọ arịrịọ gaa ebe ndị a na-amaghị, na-enwetakarị ọrụ dị n'ime nke kwesịrị ka a kpachie. Enweghị ike a na-enye ndị mwakpo ohere ịnweta data dị mkpa ma ọ bụ imezu iwu na sistemụ dị n'ime.
Ọgwụgwọ maka SSRF
Iji gbochie SSRF, kwado ntinye niile nke onye ọrụ ma machibido ikike sava ahụ ime arịrịọ ọpụpụ. Na mgbakwunye, jiri ndepụta ikike iji chịkwaa URL ndị sava ahụ nwere ike ịnweta.
Xygeni's CI/CD Nchebe na-enyere aka inyocha pipelines maka adịghị ike SSRF nwere ike ime. Ọzọkwa, Nchọpụta Anomaly nke Xygeni nwere ike ijide usoro arịrịọ a na-atụghị anya ya ma ọ bụ nke a na-enyo enyo.
Ihe Nlereanya n'ezie n'ụwa
In 2022, adịghị ike dị ukwuu na Microsoft Exchange (CVE-2022-41040) ndị mwakpo jiri usoro SSRF mee ihe. Ndị mwakpo nwere ike izipu arịrịọ ọjọọ na sava Exchange, na-ezere nchedo nchekwa dị n'ime.
Ozugbo ha banyere, ndị mwakpo ahụ na-abanye na sistemụ dị n'ime ma mebie data dị mkpa. Site n'iji SSRF eme ihe, ha nwetara ohere na-enweghị ikike ịnweta akụrụngwa dị n'ime amachibidoro, nke butere nnukwu mmebi nchekwa.
Nsogbu SSRF dị oke njọ n'ihi na ha na-enye ndị mwakpo ohere ịnweta sistemụ dị n'ime nke na-ekwesịghị ikpughere ọha na eze. A sị na Microsoft tinyere nkwenye ntinye siri ike na mmachi arịrịọ mpụga, ha gaara egbochi mgbalị ndị mwakpo na-eme iji adịghị ike a mee ihe. Mmebi a na-egosi mkpa ọ dị ijikwa arịrịọ sava na akụrụngwa dị n'ime dị nro ma hụ na naanị isi mmalite ndị a pụrụ ịtụkwasị obi na ndị a kwadoro nwere ike ịkpakọrịta ha.
Gịnị mere o ji dị mkpa taa? Nhazi nke igwe ojii na API dị n'ime emeela ka mmetụta nke adịghị ike SSRF dịkwuo elu, nke ndị mwakpo na-eji enweta ọrụ dị mkpa na sistemụ metadata.
Ihe Mere OWASP Top 10 Ka Ji Dị Mkpa
The Nsogbu iri kachasị elu nke OWASP dị oke mkpa maka òtù dị iche iche na-achọ ichebe ngwa ha site na ihe iyi egwu ndị a na-ahụkarị na ndị dị ize ndụ. Ihe egwu ndị a abụghị echiche; ha na-anọchite anya ihe egwu dị adị nke nwere ike ibute mmebi data, mfu ego, na mmebi aha. Site n'ịgwọta adịghị ike ndị a nke ọma, òtù dị iche iche nwere ike ibelata ihe egwu nke mwakpo na-aga nke ọma ma hụ na sistemụ ha na-eguzogide ihe iyi egwu na-agbanwe agbanwe.
Ọzọkwa, itinye usoro ọgwụgwọ akwadoro na ndepụta nke nsogbu iri kachasị elu nke OWASP na-enyere òtù aka ịhọrọ ụzọ dị mma maka nchekwa. Dịka ọmụmaatụ, ime ka njikwa ohere dịkwuo ike, ichekwa usoro nzuzo, na ibelata ihe egwu nke usoro ọkọnọ niile na-arụ ọrụ dị mkpa n'ịgwọ nsogbu ndị a. N'ihi ya, òtù na-ebelata elu mwakpo ahụ, na-eme ka ọ siere ndị na-awakpo ike iji adịghị ike dị na sistemụ ahụ mee ihe.
Ka iyi egwu ịntanetị na-agbasa, ọ dị mkpa ka òtù dị iche iche buru ụzọ zere nsogbu ndị nwere ike ime. Site n'ime ihe n'oge, òtù dị iche iche na-ahụ na ha ga-echebe ngwa ha ruo ogologo oge ma nọgide na-enwe ntụkwasị obi nke ndị ọrụ ha.
E wezụga nsogbu OWASP nke kachasị elu iri, òtù dị iche iche na-eche nnukwu ngwugwu mepere emepe, mwakpo mgbagwoju anya ịdabere, mkpọsa ide ihe, koodu AI na-enweghị nchekwa, CI/CD pipeline nkwekọrịta, ikpughe ihe nzuzo, na malware nke usoro nnyefe ngwanrọ.
Mmemme AppSec nke oge a na-ejikọta ntuziaka OWASP na nke kachasị ọhụrụ software supply chain security, Nchekwa AI, na nyocha ihe egwu oge ọrụ iji dozie ihe ndị na-agbanwe agbanwe na mwakpo.
Otu Xygeni si akwado atụmatụ OWASP na OWASP SAMM
Na-agwa ndị Nsogbu iri kachasị elu nke OWASP dị oke mkpa maka nchekwa ngwa weebụ. Otú ọ dị, nchekwa ngwa gị anaghị akwụsị ebe ahụ. Nlereanya Nkwalite Ngwanrọ OWASP (SAMM) na-enye usoro maka inyocha ma melite ntozu oke nchekwa gị n'ofe usoro mmepe ngwanrọ (SDLC). Site na ijiko Ngwa nchekwa zuru oke nke Xygeni, òtù dị iche iche enweghị ike ibelata Nsogbu nchekwa iri kachasị elu nke OWASP kamakwa ime ka ha too nke ọma n'ihe gbasara nchekwa, dịka OWASP SAMM si kọwaa.
Ime ka nchekwa ngwa sikwuo ike site na iji Xygeni
Xygeni na-enye òtù dị iche iche ike idozi nsogbu ahụ ndepụta nke ihe ọghọm iri kachasị elu nke OWASP ebe ọ na-eme ka nnabata nke OWASP SAMM dịkwuo ngwa ngwa, na-enyere òtù aka ịnọgide na-enwe ọganihu na ntozu okè nke nchekwa ngwanrọ. Site na iji njikwa nchekwa akpaaka, na-eme ka ihe ndị dị mkpa dabere na ihe egwu dị na ya, na ime ka njikwa ihe mberede sikwuo ike, Xygeni na-enyere òtù aka ịmepụta ngwanrọ nchekwa na-eguzogide, nke na-ebelata ihe egwu nke mmebi nchekwa nke ọma.
Site na nlekota oge, nchọpụta adịghị ike akpaghị aka, na mmanye iwu n'ofe SDLC, Xygeni na-eme ka mbọ nchekwa na nrubeisi dị mfe, na-agbaso ụkpụrụ kacha mma nke OWASP SAMM. Nke a na-enyere òtù aka ịbawanye ntozu okè nchekwa ha, yana usoro doro anya maka mmezi na-aga n'ihu.
Mee ihe ugbu a iji chekwaa ngwa gị
The Nsogbu iri kachasị elu nke OWASP gosi ihe egwu nchekwa kachasị mkpa na-eche ihu na ngwa ọgbara ọhụrụ. Ntuziaka OWASP na itinye usoro kachasị mma akọwapụtara ebe a, ị nwere ike Chebe nzukọ gị megide ihe iyi egwu ndị a ma wulite ngwa ndị na-eguzogide mwakpo dị mgbagwoju anya.
Mee ka nchekwa ngwa gị sikwuo ike na Software Supply Chain Security.
Ngwa ọgbara ọhụrụ chọrọ ihe karịrị nyocha ihe ndị na-adịghị ike ọdịnala. Xygeni na-enyere òtù aka ịchọpụta, hazie, ma dozie ihe egwu iri kachasị elu nke OWASP n'ofe koodu isi mmalite, ndabere isi mmalite mepere emepe, CI/CD pipelines, akụrụngwa igwe ojii, na usoro mmepe enyere aka na AI.
Chọpụta otu Xygeni si enyere ndị otu AppSec na DevSecOps aka ibelata ihe egwu n'oge a SDLC!
