TL; DR
ისინი ერთმანეთის კონკურენტი სიები არ არიან. ისინი სხვადასხვა საზომ ერთეულებს წარმოადგენენ. CWE-ს ტოპ 25 აფასებს ინდივიდუალური სისუსტეების ტიპებს, კონკრეტულ კოდირებისა და დიზაინის შეცდომებს, რომლებიც CVE-ების წარმოქმნას უწყობს ხელს. OWASP-ის ტოპ 10 აფასებს რისკების ფართო კატეგორიებს, რომელთაგან თითოეული ათობით ამ სისუსტეს შეიცავს. იმის კითხვა, თუ რომელია უკეთესი, იგივეა, რაც იმის კითხვა, ჯობია თუ არა მილიმეტრები მეტრებს.
მათ ქვეშ მოცემული მონაცემებიც განსხვავებულია. 2025 წლის CWE-ს ტოპ 25, გამოქვეყნებულია CIS2025 წლის დეკემბერში MITRE-ის გამოყენებით, A-მ შეაფასა 2024 წლის ივნისიდან 2025 წლის ივნისამდე პერიოდში 39,080 CVE ჩანაწერის სისუსტეები, რომლებიც შეწონილი იყო გავრცელების, სიმძიმისა და ცნობილი ექსპლუატირებული დაუცველობების კატალოგში გამოჩენის მიხედვით. OWASP Top 10:2025-მა ეფუძნა 175,000-ზე მეტ CVE-ს, ასევე წვლილი შეიტანა აპლიკაციების ტესტირების მონაცემებსა და პრაქტიკოსების გამოკითხვებში, ათ კატეგორიაში 248 CWE-ს მონიშვნით.
მათი აღრევა აუდიტის დროს გიჯდებათ და არა აბსტრაქტულად. CWE ადგენს პროგრამული უზრუნველყოფის კონკრეტულ უსაფრთხოების სისუსტეს, ამიტომ მას შეუძლია მტკიცებულებების შემცველი იყოს: ეს ფაილი, ეს ხაზი, ეს წყარო. OWASP კატეგორიას არ შეუძლია ამის გაკეთება, რადგან ის აღწერს რისკის კლასს და არა დეფექტს. როდესაც ანგარიში აცხადებს OWASP დაფარვას თითოეული აღმოჩენის უკან CWE არ არსებობს, ინჟინერს არაფრის გამოსწორება არ შეუძლია და აუდიტორს არაფრის დადასტურება არ შეუძლია.
გამოიყენეთ ორივე, სხვადასხვა სამუშაოსთვის: CWE-ს ტოპ 25 დასკვნა, რომელიც მოიცავს დახარისხებას, გამოსწორებას და შესყიდვების საკითხებს; OWASP-ის ტოპ 10 პროგრამის დიზაინის, საფრთხეების მოდელირებისა და ტრენინგის მიხედვით. Xygeni-ს ყველა დასკვნას თან ახლავს თავისი CWE კოდში არსებულ მტკიცებულებებთან ერთად და შეესაბამება შესაბამის OWASP სიას იმ ზედაპირისთვის, საიდანაც ის მოპოვებულია. Code security, API-სა და AI-ის დასკვნები ყველა ერთსა და იმავე წესს მიჰყვება.
სწრაფი პასუხი. CWE-ს ტოპ 25 არის ყოველწლიური რეიტინგი, რომელიც აქვეყნებს პროგრამული უზრუნველყოფის 25 ყველაზე სახიფათო სისუსტის ტიპს. CISA და MITRE, შეფასებულია რეალური CVE მონაცემებით და ცნობილი ექსპლუატაციით. OWASP-ის ტოპ 10 წარმოადგენს ათი ყველაზე ფართო აპლიკაციის უსაფრთხოების რისკის კატეგორიის რეიტინგს, რომელთაგან თითოეული შეესაბამება მრავალ CWE-ს. ერთი ასახელებს დეფექტს, მეორე კი - თემას.
რას ზომავს CWE-ს ტოპ 25 სინამდვილეში
საერთო სისუსტის ჩამოთვლა არის MITRE-ის მიერ შენახული სისუსტეების ტიპების კატალოგი. თითოეული ჩანაწერი აღწერს პროგრამული უზრუნველყოფის უსაფრთხოების სისუსტის ერთ სახეობას, პროდუქტისა თუ მომწოდებლისგან დამოუკიდებლად: ვებგვერდზე შეყვანილი მონაცემების არასათანადო ნეიტრალიზაცია, ბუფერის დასრულების შემდეგ ჩაწერა, ავტორიზაციის შემოწმების ნაკლებობა.
2025 წლის CWE-ს ტოპ 25, გამოქვეყნდა 2025 წლის დეკემბერი CISA MITRE-სა და HSSEDI-სთან თანამშრომლობით, ამ ტიპებს აფასებს იმის მიხედვით, თუ რამდენად ხშირად ჩნდებოდნენ ისინი, როგორც 2024 წლის ივნისიდან 2025 წლის ივნისამდე გამოვლენილი 39,080 CVE-ს ძირითადი მიზეზი, შეწონილი სიმძიმის და იმის მიხედვით, თუ რამდენი ჩანაწერი აქვს თითოეულ სისუსტეს ცნობილი ექსპლუატირებული დაუცველობების კატალოგში.
სიის ამჟამინდელი სათავეში ყოფნა არავის გააკვირვებს, ვინც AppSec პროგრამას იყენებს:
- საიტებს შორის სკრიპტირება (CWE-79) მეორე წელია პირველ ადგილს იკავებს და ქულით გაცილებით უსწრებს ყველა ქვემოთ მყოფს
- SQL ინექცია (CWE-89) მეორე ადგილზეა და კვლავ ექსპლუატაციას უწევს ყველა სახის პლატფორმაზე
- საიტებს შორის მოთხოვნის გაყალბება (CWE-352) მესამეა
- ავტორიზაციის ნაკლებობა (CWE-862) ხუთი პოზიციით გადაინაცვლა და მეოთხე ადგილზე გადაინაცვლა, რაც ავტორიზაციის ჩავარდნების უფრო ფართო ზრდის ნაწილია.
- საზღვრებს გარეთ ჩაწერა (CWE-787) მეხუთე ადგილზეა, მეხსიერების უსაფრთხოება კი კვლავ სტაბილურად ათეულშია გამოყენების შემდეგ წაკითხვის შემდეგ და წაკითხვის გარეშე წაკითხვის შემდეგ.
- გზის გავლა, OS ბრძანების ინექცია და კოდის ინექცია ავსებს ათეულში შემავალ დანარჩენ ადგილებს.
ღირს ორი ნიმუშის წაკითხვა. ავტორიზაციის სისუსტეები იზრდება, რაც API-ზე დაფუძნებულ და ღრუბლოვან არქიტექტურებში ვლინდება, სადაც ავტორიზაციის სისტემა, რომელიც ადრე ერთ ადგილას იყო განთავსებული, ახლა ასობით ბლოკში უნდა ინახებოდეს. მეხსიერების უსაფრთხოება კი არ მთავრდება: 2025 წლის სიაში ბუფერული გადავსების სამი ვარიანტი შევიდა, როგორც ახალი ან დაბრუნებული ჩანაწერები, რაც არასასიამოვნო მეტყველებს იმაზე, თუ რამდენად ძველი C და C++ კვლავ საფუძვლად უდევს თანამედროვე სისტემებს.
სისუსტე, დაუცველობა, რისკი: სამი განსხვავებული რამ
ორ სიას შორის დაბნეულობის უმეტესი ნაწილი გამოწვეულია სამი კონცეფციის შერევით, რომლებსაც პროფესიონალები წინასწარ იყენებენ.cisელი.
- A სისუსტე ეს არის შეცდომის ტიპი. ეს არის ის, რასაც CWE ამოიცნობს. პროგრამული უზრუნველყოფის ყველა უსაფრთხოების სისუსტეს აქვს იდენტიფიკატორი, მიუხედავად იმისა, ვინმემ ოდესმე გამოიყენა ის თქვენს კოდში.
- A დაუცველობაზე ეს არის კონკრეტული პროდუქტის, კონკრეტული ვერსიის სისუსტის ერთ-ერთი მაგალითი. სწორედ ამას განსაზღვრავს CVECVE-ს უკან ყოველთვის დგას CWE, ზუსტად ასე იქმნება CWE-ს ტოპ 25.
- A რისკი არის ის, რასაც თავდამსხმელი აღწევს და რა გიჯდებათ ეს. ეს არის ფენა, რომელსაც OWASP აწყობს. წვდომის კონტროლის დარღვევა არ არის დეფექტი, რომელზეც ფაილში მითითება შეგიძლიათ. ეს არის კატეგორია, რომელიც დაახლოებით 40 CWE-ს შეიცავს, რომელთაგან ნებისმიერი შეიძლება იყოს რეალური შეცდომა.
თუ ამ სამს თანმიმდევრულად მიუდგებით, სიებს შორის კავშირი აშკარა გახდება: CVE სისუსტის მაგალითია, სისუსტე რისკის კატეგორიას მიეკუთვნება და ორი რანჟირება ერთი და იგივე დასტის სხვადასხვა ფენას აღწერს.
CWE-ს ტოპ 25 და OWASP-ის ტოპ 10, ერთმანეთის გვერდიგვერდ
ორი სია, ორი საზომი ერთეული
იგივე დომენი, სხვადასხვა სიმაღლე. მნიშვნელოვანი განსხვავებებია ერთეულში, მონაცემებსა და იმ სამუშაოში, რომლისთვისაც თითოეული მათგანი გამოდგება.
| CWE-ს ტოპ 25 | OWASP ტოპ 10 | |
|---|---|---|
| ერთეულის | ერთი ტიპის სისუსტე, მაგალითად CWE-89 SQL ინექცია | ერთი რისკის კატეგორია, რომელიც მოიცავს სისუსტის მრავალ ტიპს |
| წოდებები | 25 სისუსტე | 10 კატეგორია, 248 CWE, რომლებიც 2025 წლის გამოცემაშია მოცემული |
| მონაცემები მის უკან | 39,080 CVE ჩანაწერი, შეწონილი სიმძიმისა და KEV-ის გამოჩენის მიხედვით | 175 000-ზე მეტი CVE, პლუს აპლიკაციების ტესტირების მონაცემები და პრაქტიკოსების გამოკითხვები |
| გამოქვეყნებულია | CISA MITRE-ით და HSSEDI-ით | OWASP ფონდი, რომელიც საზოგადოების მიერ არის მართული |
| Cadence | ყოველწლიური. 2025 წლის სია 2025 წლის დეკემბერში გამოქვეყნდა. | დაახლოებით ოთხ წელიწადში ერთხელ. 2025 წელს 2021 მოჰყვა. |
| სფერო | ყველა პროგრამული უზრუნველყოფა: ვებ, ჩაშენებული, firmware, ოპერაციული სისტემები | ვებ აპლიკაციები და API-ები, სხვა ზედაპირებისთვის თანმხლები სიებით |
| მტკიცებულებებს შეიცავს | დიახ. CWE ემაგრება ფაილს, ხაზს და მონაცემთა ნაკადს. | არა. კატეგორია აღწერს რისკის კლასს და არა დეფექტს. |
| საუკეთესოდ გამოიყენება | ტრიაჟი, რემედიაცია, უსაფრთხო კოდირება standards, შესყიდვები და მომწოდებლის კითხვები | პროგრამის დიზაინი, საფრთხეების მოდელირება, ტრენინგი, საბჭოსთან და აუდიტთან საუბრები |
სამი გზა, რომლითაც გუნდები ამას ცდებიან
- მათ მეტოქეებად მოპყრობა. მათ შორის არჩევანი კატეგორიის შეცდომაა. CWE-ს ტოპ 25 სია გიჩვენებთ, თუ რომელი ტიპის სისუსტეები იწვევს ყველაზე მეტ ზიანს მთელ ინდუსტრიაში. OWASP ტოპ 10 გეუბნებათ, თუ რა რისკების თემებს მოიცავს თქვენი პროგრამა. ზრდასრულთათვის განკუთვნილ პროგრამაში ორივე მათგანია მოყვანილი, სხვადასხვა აუდიტორიისთვის.
- OWASP დაფარვის, როგორც პრეტენზიის მიღება. „ჩვენ ვფარავთ OWASP ტოპ 10„გაუმართლებელია, რადგან კატეგორია ერთი და იგივეა. მხოლოდ „გაფუჭებული წვდომის კონტროლი“ დაახლოებით 40 CWE-ს უკავშირდება და ბაზარზე არსებული არცერთი ინსტრუმენტი ვერ აფიქსირებს პროგრამული უზრუნველყოფის უსაფრთხოების ყველა სისუსტეს ერთი კატეგორიის ფარგლებში. კითხვა, რომელიც ღირს გამყიდველისთვის დასვათ, არის ის, თუ რომელ CWE-ებს აფიქსირებს ის, რომელ ენებზე და რა მტკიცებულებებით თითო აღმოჩენაზე. ამ კითხვას პასუხი აქვს. მეორე კითხვას კი - არა.
- აუდიტის მტკიცებულებების არასწორ ფენაზე მიმაგრება. აუდიტორი, რომელიც ითხოვს ინექციის რისკის კონტროლის დამადასტურებელ მტკიცებულებას, საჭიროებს დასკვნებს და არა კატეგორიის სახელწოდებას. დასკვნა, რომელიც წერს CWE-89, ეს ფაილი, ეს ხაზი, ეს პარამეტრი, დატვირთვითა და გამოსწორებით, წარმოადგენს მტკიცებულებას. A dashboard ფილა, რომელზეც წერია A05:2025, არის ეტიკეტი.
2025 წლის გამოცემები ყურადღების ღირსი ცვლილებებით შეიცვალა
ორივე სია ცოტა ხნის წინ შეიცვალა და თითოეულში მგზავრობის მიმართულება იგივეა.
ავტორიზაცია იზრდება. ავტორიზაციის ნაკლებობა CWE-ს ტოპ 25-ში მეოთხე ადგილზე ავიდა, ხოლო გატეხილი წვდომის კონტროლი OWASP Top 10:2025-ში პირველ ადგილზე დარჩა გაფართოებული მასშტაბით, რომელიც ახლა შთანთქავს სერვერის მხრიდან გაყალბებულ მოთხოვნებს და ცალსახად მოიცავს API ობიექტისა და ფუნქციის დონის ავტორიზაციის ჩავარდნებს.
მიწოდების ჯაჭვი პირველი კლასის რისკად იქცა. OWASP Top 10:2025-ში მესამე ადგილზე პროგრამული უზრუნველყოფის მიწოდების ჯაჭვის ჩავარდნები შევიდა, რამაც ძველი დაუცველი კომპონენტების კატეგორია გააფართოვა და მოიცვა დამოკიდებულებები, სისტემების შექმნა და განაწილების ინფრასტრუქტურა. ეს ცვლილება ასახავს იმას, რაც რეალურად მოხდა ბოლო ორი წლის განმავლობაში და ეს არის ისეთი რისკი, რომელსაც არცერთი CWE კარგად არ აღწერს.
ხელოვნური ინტელექტი სქოლიოდან საკუთარ სიებზე გადავიდა. 2025 წლის OWASP-ის გამოცემაში ხელოვნური ინტელექტის კატეგორია არ იყო დამატებული, თუმცა შემდეგი ნაბიჯების განყოფილებაში „ხელოვნური ინტელექტის მიერ გენერირებული კოდის მიმართ შეუსაბამო ნდობა“ იყო მითითებული. 2026 წლის განმავლობაში ეს ხარვეზი სხვაგან შეივსო: OWASP-ის ტოპ 10 აგენტური აპლიკაციებისთვის 2026 წელს მოიცავს ავტონომიურ, ხელსაწყოების გამოყენებით განვითარებულ სისტემებს და OWASP GenAI LLM ტოპ 10 2026, რომელიც 2026 წლის აგვისტოში გამოქვეყნდა, ჩაანაცვლა 2025 წლის გამოცემა LLM აპლიკაციებისთვის და გააფართოვა მისი შესაბამისობები NIST-ზე, MITRE ATLAS-ზე და CWE-ზე. თუ შესაბამისობების ცხრილს ინარჩუნებთ, ეს ორი ჩანაწერი უნდა დაამატოთ.
რას უნდა ველოდოთ შემდეგ. CWE-ს ტოპ 25 ყოველწლიურია და წლის ბოლოს ქვეყნდება, ამიტომ 2025 წლის გამოცემა მიმდინარეა, შემდეგი კი 2026 წლის ბოლოს უნდა გამოქვეყნდეს. OWASP-ის ტოპ 10 გაცილებით ხანგრძლივი ციკლით, დაახლოებით ოთხი წლით, მოქმედებს, რაც იმას ნიშნავს, რომ 2025 წლის სია გარკვეული ხნით ავტორიტეტული რჩება. კადენციის ეს განსხვავება თავისთავად მათი სხვადასხვა სამუშაოსთვის გამოყენების მიზეზია: ერთი წლიდან წლამდე საფრთხეების ლანდშაფტს აკონტროლებს, მეორე კი საშუალოვადიან პერსპექტივაში პროგრამის მიმართულებას განსაზღვრავს. ეს გვერდი ბოლოს 2026 წლის სექტემბერში გადაიხედა.
როგორ გამოვიყენოთ ორივე სამუშაოს დუბლირების გარეშე?
ხუთი წესი, რომელიც ორ სიას თავის ხაზებზე ინარჩუნებს
სიები ერთმანეთს ავსებს. ნამუშევარი მხოლოდ მაშინ იმეორებს, როდესაც ორივე სამუშაოსთვის ერთი და იგივე სია გამოიყენება.
- მოითხოვეთ CWE ყველა აღმოჩენაზე თუ დასკვნას არ აქვს CWE, მისი დათვლა, სხვადასხვა ხელსაწყოსთან შედარება, კატეგორიასთან მიბმა ან ვინმეს მიერ მოგვიანებით გადამოწმება შეუძლებელია. გახადეთ ის მინიმუმამდე დაყვანილი. standard თქვენს მიერ გამოყენებული ყველა სკანერისთვის და მომწოდებლისგან მიღებული ყველა ანგარიშისთვის.
- ანგარიშის წარდგენა CWE-ების ინჟინრებისთვის და OWASP კატეგორიების საბჭოსთვის დეველოპერს სჭირდება სისუსტე, ფაილი და გამოსწორება. აღმასრულებელს კი - თემა და ტენდენცია. იგივე მონაცემები, ორი სიმაღლე და მათ შორის თარგმნა ანგარიშგების სამუშაოა და არა მეორე სკანირება.
- CWE-ს ტოპ 25 უსაფრთხო კოდირებად გადააქციეთ standards სია მოკლე, კონკრეტული და რეალური დაზიანების მიხედვით დალაგებულია, რაც მას კოდირების წესების, განხილვის საკონტროლო სიებისა და იმ კითხვების პრაქტიკულ საფუძვლად აქცევს, რომლებსაც თქვენ გამყიდველს უსვამთ მათი პროგრამული უზრუნველყოფის შეძენამდე.
- გამოიყენეთ OWASP დიზაინისთვის და არა აღმოსაჩენად საფრთხეების მოდელირება, არქიტექტურის მიმოხილვა და სასწავლო სამუშაოები კატეგორიის დონეზე, რადგან სწორედ აქ ხდება დიზაინის შექმნა.cisიონები ცოცხლობენ. ამ დონეზე აღმოჩენის შესახებ პრეტენზიები მარკეტინგულია, რადგან არცერთი ინსტრუმენტი არ მოიცავს კატეგორიის ყველა CWE-ს.
- პრიორიტეტის განსაზღვრა ექსპლუატაციის შესაძლებლობის მიხედვით და არა სიაში პოზიციის მიხედვით არცერთი რანჟირება არ იცნობს თქვენს არქიტექტურას. მიუწვდომელ კოდის გზაზე მეოთხე სისუსტე ნაკლებად მნიშვნელოვანია, ვიდრე ინტერნეტთან დაკავშირებული საბოლოო წერტილის მეცხრამეტე სისუსტე, რომელიც რეგულირებად მონაცემებს შეიცავს. გამოიყენეთ სიები მასშტაბის დასადგენად და თქვენივე კონტექსტი სამუშაოს დასალაგებლად.
როგორ გამოიყურება ეს დასკვნაში
ქსიგენი კლასიფიკაციას მტკიცებულებას ანიჭებს და არა dashboardკოდის ანალიზის შედეგები შეიცავს სისუსტის ტიპს, სიმძიმეს, ფაილში მდებარეობას და გამოსწორების ინსტრუქციას. DAST-ის შედეგები ამატებს შეტევის დატვირთვას და სრულ მოთხოვნასა და პასუხს, რომელიც ამას ადასტურებს. API-ის შედეგები შეესაბამება OWASP API Security Top 10-ს და CWE-ს, ამიტომ პასუხში მგრძნობიარე მონაცემების გამოვლენა ხდება როგორც კატეგორიის, ასევე მის უკან მდგომი კონკრეტული სისუსტის მითითებით. ხელოვნური ინტელექტის შედეგები შეესაბამება OWASP Top 10-ს LLM აპლიკაციებისთვის, რადგან ეს არის სწორი სია ამ ზედაპირისთვის.
შემდეგ პრიორიტეტიზაციის ძაბრი ასრულებს იმ როლს, რასაც ვერც ერთი რეიტინგი ვერ გააკეთებს თქვენთვის: ყველაფერს აკონკრეტებს იმით, რაც ხელმისაწვდომია, ექსპლუატაციაში შედის სერთიფიკატების გარეშე და დაკავშირებულია ბიზნესისთვის მნიშვნელოვან რამესთან. იგივე მიდგომა ვრცელდება თქვენს მიერ უკვე არსებული სკანერებიდან მიღებულ მონაცემებზეც, ამიტომ სიმძიმისა და მტკიცებულებების ერთი მოდელი მოიცავს მთელ პროგრამას ერთი ინსტრუმენტის ნაცვლად.
კითხვა-პასუხი
CWE-ს ტოპ 25 ჯობია OWASP-ის ტოპ 10-ს? არც ერთი არ არის უკეთესი. ერთი აფასებს სისუსტეების ტიპებს იმ მტკიცებულებებით, რომლებზეც შეგიძლიათ იმოქმედოთ, მეორე კი აფასებს რისკების კატეგორიებს, რომელთა მიხედვითაც ქმნით პროგრამას.
რამდენად ხშირად იცვლება CWE-ს ტოპ 25? ყოველწლიურად. 2025 წლის გამოცემა გამოქვეყნდა 2025 წლის დეკემბერში, რომელიც შედგენილია 2024 წლის ივნისიდან 2025 წლის ივნისამდე პერიოდში გამჟღავნებული CVE-ების მიხედვით.
ყველა CVE-ს აქვს CWE? ფაქტობრივად, დიახ, და სწორედ ეს შესაბამისობა ხდის რეიტინგს შესაძლებელს. CWE არის ძირითადი მიზეზი; CVE კი - მაგალითი.
შეიძლება თუ არა ერთი და იგივე აღმოჩენა ორივე სიას ეკუთვნოდეს? დიახ, და როგორც წესი, ასეც ხდება. SQL ინექცია არის CWE-89 და OWASP ინექციის კატეგორიაში შედის, ამიტომ ერთი და იგივე დასკვნა ორივე მხრიდან სხვადასხვა აუდიტორიისთვის არის მოხსენებული.
რა ითვლება პროგრამული უზრუნველყოფის უსაფრთხოების სისუსტედ? დიზაინში, იმპლემენტაციაში ან არქიტექტურაში ნებისმიერი განმეორებადი ხარვეზი, რამაც შეიძლება გამოიწვიოს ექსპლუატაციური დაუცველობა: შემოწმების არარსებობა, არასანიტარიზებული შეყვანა, შეუზღუდავი ჩაწერა. კატალოგი თითოეულ მათგანს ანიჭებს იდენტიფიკატორს, მიუხედავად იმისა, არსებობს თუ არა ის თქვენს კოდში დღეს.
რომელზე ეკითხებიან აუდიტორები? ისინი ორივეს შესახებ კითხულობენ და მხოლოდ ერთის მტკიცებულებას იღებენ. კატეგორიის სახელწოდებები აკმაყოფილებს პოლიტიკის კითხვას; CWE დონის დასკვნები მდებარეობებით აკმაყოფილებს საკონტროლო ტესტს.
როგორ გამოვიყენოთ CWE-ს ტოპ 25-ის სია ამ კვარტალში ყველაზე სწრაფად? აირჩიეთ ათეული, შეამოწმეთ, თქვენი ამჟამინდელი ინსტრუმენტებიდან რომელ სისუსტეებს ავლენს სინამდვილეში თქვენს ენებში და ეს ხარვეზები თქვენს გეგმად აღიქვით.
ერთი ნაკლს ასახელებს, მეორე - თემას
განსხვავების შენარჩუნების ყველაზე ნათელი გზა: CWE-ს ტოპ 25 გეუბნებათ, რა გამოასწოროთ, ხოლო OWASP-ის ტოპ 10 გეუბნებათ, რაზე ისაუბროთ. პროგრამა, რომელიც მხოლოდ კატეგორიებით საუბრობს, აუდიტორს ვერაფერს დაუმტკიცებს. პროგრამა, რომელიც მხოლოდ CWE-ებით საუბრობს, საბჭოსთვის საკუთარი თავის ახსნას ვერ შეძლებს.
ყველა ნივთი, რომელიც ღირს ფლობას, ორივეს შეიცავს, პლუს მდებარეობას, რომელიც მის შეკეთებას შესაძლებელს ხდის. ნახეთ, როგორ გამოიყურება ეს ქსიგენი.
