Ny OWASP Top 10 dia iray amin'ireo referansa fiarovana fampiharana be mpampiasa indrindra amin'ny famantarana sy fampihenana ireo risika fiarovana fampiharana tranonkala tena manan-danja indrindra. Ity torolàlana ity dia manazava ny risika OWASP Top 10, ohatra tena misy, fomba fanao tsara indrindra amin'ny fanarenana, ary ny fomba fiasan'ny AppSec maoderina sy software supply chain security manampy ireo fikambanana hampihena ny risika manerana ny SDLC.
Ny Tetikasa Fiarovana ny Rindrambaiko Tranonkala Misokatra (OWASP)
Tetikasa Fiarovana ny Rindrambaiko Tranonkala Misokatra (OWASP) dia fikambanana tsy mitady tombombarotra mitarika izay manolo-tena amin'ny fanatsarana ny fiarovana ny rindrambaiko. Ny OWASP dia fantatra amin'ny mangarahara sy commitvahaolana entin'ny vondrom-piarahamonina, izay nahatonga azy io ho loharano ianteheran'ny mpamorona rindrambaiko, matihanina amin'ny fiarovana, ary fikambanana mikatsaka ny hampihatra ny fomba fanao tsara indrindra amin'ny fiarovana. Anisan'ireo fandraisany anjara maro, ny iray amin'ireo manan-danja indrindra dia ny OWASP Top 10, lisitra havaozina tsy tapaka momba ny loza mety hitranga amin'ny fiarovana ny fampiharana tranonkala izay misy fiantraikany amin'ny fampiharana maoderina. Asongadin'izy io ireo fahalemena lehibe indrindra amin'ny fampiharana tranonkala, mifototra amin'ny angon-drakitra tena izy sy ny hevitry ny manam-pahaizana.
Ny iraka ampanaovina ny OWASP dia ny hahatonga ny fiarovana ho mora idirana sy azo takarina, amin'ny fanomezana fitaovana, rafitra ary fahalalana hanampiana amin'ny fiarovana ireo rindranasa hatrany am-boalohany. Ny OWASP Top 10 dia toy ny rafitra azo ampiharina hanampiana ireo mpamorona rindrambaiko hifantoka amin'ireo fahalemena tena manan-danja, mba hahazoana antoka fa afaka mampihatra ireo vahaolana ilaina amin'ny fomba mahomby izy ireo.
Ny 10 Tsara Indrindra ao amin'ny OWASP
Loharano fototra ho an'ny fiarovana ny rindranasa ho an'ny fikambanana miaro ny rindranasa tranonkala maoderina ny OWASP Top 10. Ho an'ny fikambanana rehetra miasa amin'ny fiarovana ny rindranasa tranonkala. Mamariparitra ireo fandrahonana fiarovana tena lehibe indrindra izy io, manolotra topimaso momba ny fomba mahazatra idiran'ny rindranasa. Ny fahalemena OWASP Top 10 dia manasongadina ireo risika lehibe ireo, manolotra tolo-kevitra azo ampiharina mba hampihenana azy ireo. Ny famahana mivantana ireo fahalemena ireo dia tena ilaina amin'ny fanamafisana ny fiarovana ny rindranasa rehetra.
Inona avy ireo OWASP Top 10 sy ny vahaolana azo avy amin'izany?
Ny OWASP Top 10 dia antontan-taratasy fanentanana eken'ny rehetra eran-tany navoakan'ny Open Web Application Security Project (OWASP). Mamantatra ireo risika ara-piarovana tena lehibe indrindra misy fiantraikany amin'ny fampiharana tranonkala maoderina mifototra amin'ny angon-drakitra fanafihana tena izy, ny fikarohana ataon'ny vondrom-piarahamonina, ary ny famakafakana ny indostria ity lisitra ity. Manampy ireo mpamorona rindrambaiko, ekipa AppSec, injeniera DevSecOps, ary mpitarika ny fiarovana hanome laharam-pahamehana ireo fahalemena izay miteraka risika lehibe indrindra amin'ny fampiharana, API, ary rojo famatsiana rindrambaiko ity lisitra ity.
Ny OWASP Top 10 amin'izao fotoana izao dia ahitana sokajy fiarovana toy ny Broken Access Control, Injection, Security Disconfiguration, Vulnerable and Lany Andro ny Singa, Software and Data Integrity Failures, ary Server-Side Request Forgery (SSRF). Ny fahatakarana ireo risika ireo sy ny fampiharana ny paikady fanarenana mety dia tena ilaina amin'ny fananganana fampiharana azo antoka, fampihenana ny fiantraikan'ny fiarovana ny rindrambaiko, ary fiarovana ny fikambanana amin'ny fandrahonana an-tserasera maoderina.
Sokajy 10 ambony indrindra an'ny OWASP
Topimaso momba ny fahalemena 10 ambony indrindra an'ny OWASP
| Sokajy OWASP | Loza voalohany | Fiantraikany mahazatra |
|---|---|---|
| Broken Access Control | Fandraisana tsy nahazoana alalana | Fampahafantarana ny angona |
| Tsy fahombiazana amin'ny kriptografika | Fanafenana malemy | Fangalarana angon-drakitra saro-pady |
| tsindrona | Fampiharana fampidirana ratsy | Fidiran'ny angon-drakitra |
| Endrika tsy azo antoka | Fahalemena ara-maritrano | Fahalemena manerana ny rafitra |
| Fiovana tsy mety amin'ny fandriam-pahalemana | Fanamboarana tsy mety | Fandraisana tsy nahazoana alalana |
| Ireo singa marefo | Fiankinan-doha efa lany andro | Fifandonana amin'ny rojo famatsiana |
| Ny tsy fahombiazan'ny fanamarinana | Fanaraha-maso malemy momba ny maha-izy azy | Fandraisana kaonty |
| Tsy fahatomombanan'ny rindrambaiko | Fanovana ny fananganana/fiankinan-doha | Fampidirana rindrambaiko maloto |
| Tsy fahombiazan'ny firaketana sy fanaraha-maso | Fahitana tara | Fotoana iainan'ny mpanafika lava kokoa |
| SSRF | Fanararaotana ny fangatahana anatiny | Fifandonana amin'ny serivisy anatiny |
1. Fanaraha-maso fidirana simba (A01:2021)
Inona no atao hoe Fanaraha-maso fidirana simba?
Mitranga ny tsy fahazoana alalana amin'ny fanaraha-maso ny fidirana rehefa mahazo fidirana tsy nahazoana alalana amin'ny angona na hetsika ny mpampiasa. Ohatra, mety hanodinkodina URL ny mpanafika mba hahazoana fidirana ho an'ny mpitantana. Nahita ity olana ity tamin'ny 94% amin'ireo fampiharana nosedraina ny OWASP, ka mahatonga azy io ho iray amin'ireo fahalemena fiarovana OWASP Top 10 mahazatra indrindra.
Fanafody ho an'ny fanaraha-maso fidirana simba
Mba hampihenana ity risika ity, dia ampiharo ny fidirana amin'ny toerana tsy dia misy tombontsoa firy, ampiharo ny fanamarinana misy anton-javatra maro (MFA) ho an'ny asa saro-pady, ary jereo tsy tapaka ny fahazoan-dàlan'ny mpampiasa.
Fiarovana ny tsiambaratelon'i Xygeni Manampy amin'ny fiarovana ny fampahalalana saro-pady toy ny lakilen'ny API sy ny tokens ny fanaraha-maso tsy tapaka, ka mampihena ny mety hisian'ny fanitsakitsahana ny fanaraha-maso ny fidirana. Ny fanaraha-maso tsy tapaka dia miantoka ny fahamarinan'ny rafitrao.
Ohatra amin'ny Rael-World
In 2019, Ny sandan'ny anjara First American Financial Corp mibaribary Rakitra saro-pady 850 tapitrisa noho ny fanaraha-maso tsy mety amin'ny fidirana. Afaka manova URL fotsiny ireo mpanafika mba hidirana amin'ny antontan-taratasy miafina. Amin'ny tsy firaharahiana ny fiarovana tsara ireo teboka fidirana, dia namela ny angon-drakitra saro-pady ho marefo ny orinasa. Ity tranga ity dia manantitrantitra ny filàna fanamarinana ny andraikitry ny mpampiasa sy ny fiantohana fa ny olona nahazo alalana ihany no afaka miditra amin'ny fampahalalana saro-pady.
Nahoana no zava-dehibe izany ankehitriny? Mampiharihary ny API, ny serivisy rahona ary ny andraikitry ny mpampiasa miparitaka ireo fampiharana maoderina, ka mahatonga ny fidirana tsy nahazoana alalana ho iray amin'ireo risika fiarovana mahazatra sy manimba indrindra izay misy fiantraikany amin'ny angon-drakitra saro-pady ao amin'ny orinasa.
2. Tsy fahombiazan'ny kriptografika (A02:2021)
Inona avy ireo tsy fahombiazan'ny kriptografika?
Mitranga ny tsy fahombiazan'ny "cryptography" rehefa tsy mahavita manafina tsara ny angon-drakitra saro-pady ny rafitra, ka mamela ny mpanafika hisambotra sy hampiasa izany amin'ny fomba ratsy. Tena ilaina ny fanafenana matanjaka mba hiarovana ny angon-drakitra saro-pady.
Vahaolana amin'ny tsy fahombiazan'ny kriptografika
Ampidiro amin'ny AES-256 ny angona voatahiry ary ampiharo ny TLS 1.2 na ambony kokoa ho an'ny angona alefa. Avadiho tsy tapaka ny lakilen'ny fanafenana ary arovy amin'ny alàlan'ny fanaraha-maso fidirana sahaza azy ireo.
Ny fotodrafitrasan'i Xygeni ho toy ny kaody (IaC) Fiarovana manamarina ny fikirana fanafenana mandritra ny fametrahana mba hisorohana ny fahalemena amin'ny politika fanafenana.
Ohatra eran-tany
Tamin’ny taona 2017 Exactis, orinasa fanangonana angon-drakitra, naharihary ny firaketana tsirairay miisa 340 tapitrisa noho ny tsy mety amin'ny fanafenana. Niditra tamin'ny fampahalalana manokana toy ny anarana, adiresy ary laharan-telefaona ireo mpanafika satria voatahiry amin'ny lahatsoratra tsotra ny angona. Ity fanitsakitsahana ity dia mampiseho ny mety ho tsy fahombiazan'ny fanafenana angona saro-pady. Amin'ny fampiharana ny fanafenana mety standardToy ny AES-256 ho an'ny angona mbola tsy voatahiry sy ny TLS ho an'ny angona mandritra ny fitaterana, dia afaka miaro ny angon-drakitr'izy ireo amin'ny fidirana tsy nahazoana alalana ireo fikambanana.
Nahoana no zava-dehibe izany ankehitriny? Miha-mitombo hatrany ny orinasa mitahiry sy mamindra angon-drakitra saro-pady momba ny mpanjifa, ara-bola ary fanamarinana manerana ny tontolo rahona, ka mahatonga ny fanafenana matanjaka ho ilaina amin'ny fiarovana ny fiainana manokana sy ny fanarahan-dalàna.
3. Tsindrona (A03:2021)
Inona avy ireo fanafihana amin'ny tsindrona?
Ny fahalemen'ny "injection", toy ny SQL Injection, dia ahafahan'ny mpanafika mampiditra kaody ratsy ao amin'ny rafitrao, ka ahafahan'izy ireo manodinkodina na mangalatra angona. Ny fanafihana "injection" dia mbola iray amin'ireo risika mahazatra sy misy fiantraikany amin'ny fiarovana ny fampiharana amin'ny alàlan'ny "injection" izay misy fiantraikany amin'ny fampiharana tranonkala maoderina.
Fanafody ho an'ny Fanafihana tsindrona
Ampiasao ireo fangatahana voarafitra amin'ny masontsivana ary hamarino ny fidiran'ny mpampiasa. Aza mampiasa fangatahana miovaova arakaraka ny azo atao mba hampihenana ny loza mety hitranga.
Fitihana ny tsy fetezan'i Xygeni mpanaramaso CI/CD pipelines ho an'ny fitondran-tena tsy mahazatra, izay misambotra ireo andrana tsindrona mety hitranga amin'ny fotoana tena izy.
Ohatra eran-tany
In 2017, Equifax nijaly a fanitsakitsahana angon-drakitra goavana izay nampiharihary ny mombamomba ny tena manokana Mpanjifa 147 tapitrisa. Ny fandikan-dalàna dia vokatry ny Fahalemena amin'ny tsindrona SQL, mamela ireo mpanafika hikitika ny tranokalan'ny orinasa sy hiditra amin'ny angon-drakitra saro-pady voatahiry ao amin'ny tahiry angona. Tsy maintsy miantoka ireo fikambanana fa manadio tsara ny fidiran'ny mpampiasa ny rafitr'izy ireo. Ny fanamboarana sy fiarovana tsy tapaka ny fangatahana SQL dia mety ho nisoroka ity fahalemena ity.
Nahoana no zava-dehibe izany ankehitriny? Mbola misy fiantraikany amin'ny fampiharana tranonkala, API, ary fomba fiasa fampandrosoana ampiasan'ny AI ny fahalemen'ny fampidirana, izay ahafahan'ny fidirana tsy voamarina tonga any amin'ny mpandika teny, tahiry angona, na rafitra backend.
4. Endrika Tsy Azo Antoka (A04:2021)
Inona no atao hoe Insecure Design?
Mitranga ny famolavolana tsy azo antoka rehefa tsy mahavita mampiditra ny fiarovana amin'ny dingana voalohany amin'ny famolavolana ny mpamorona rindrambaiko, izay miteraka fahalemena izay sarotra amboarina any aoriana. Sarotra amboarina ireo fahalemena ireo rehefa tonga any amin'ny tontolo famokarana ny fampiharana.
Fanafody ho an'ny Endrika tsy azo antoka
Ampidiro aloha ny fitsipiky ny famolavolana azo antoka sy ny modely fandrahonana eo am-piandohan'ny tsingerin'ny fampandrosoana. Tombano tsy tapaka ny endrikao mba hahitana ireo fahalemena mety hitranga ary amboary izany alohan'ny hahatonga azy ireo ho olana lehibe.
Xygeni's Application Security Posture Management (ASPM) mamantatra ireo lesoka mety hitranga amin'ny famolavolana alohan'ny ahafahan'ny mpanafika manararaotra azy ireo, miantoka fa hampiditra fiarovana ao amin'ny vokatra vokariny hatrany am-piandohana ny mpamorona.
Ohatra eran-tany
Ohatra vao haingana kokoa amin'ny tena fiainana Endrika tsy azo antoka dia ny Fahalemena amin'ny Microsoft Exchange ProxyShell tamin'ny taona 2021Nanararaotra ny lesoka amin'ny famolavolana ao amin'ny rafitra fanamarinana sy fanaraha-maso ny fidirana an'ny Microsoft Exchange ireo mpanafika, ka nahafahan'izy ireo nampihatra kaody lavitra tamin'ny mpizara marefo. Tsy lesoka amin'ny fampiharana ireo lesoka ireo, fa fahalemena fototra amin'ny famolavolana izay nahatonga ny fanararaotana ho azo atao na dia efa nampiharina tsy araka ny tokony ho izy aza ny fanavaozana. Manamafy ny maha-zava-dehibe ny fampidirana fiarovana amin'ny dingana famolavolana ity fanitsakitsahana ity mba hisorohana ny tsy fampidirana ireo lesoka ao amin'ny rafitra.
Nahoana no zava-dehibe izany ankehitriny? Sarotra sy lafo ny manamboatra azy any aoriana ireo fahalemena ara-piarovana miseho mandritra ny dingana famolavolana, indrindra fa any amin'ny tontolo fampandrosoana miorina amin'ny "cloud" sy izay miovaova haingana.
5. Fahadisoan'ny fikirakirana ny fiarovana (A05:2021)
Inona no atao hoe Fahadisoan'ny Fandrindrana ny Fiarovana?
Mitranga ny tsy fahaiza-manaon'ny fiarovana rehefa manararaotra ireo rafitra tsy voalamina tsara ireo mpanafika, toy ireo mampiasa fikirana mahazatra na mamela ireo seranana tsy ilaina hisokatra. Mbola iray amin'ireo antony lehibe mahatonga ny olana amin'ny fiarovana ny rahona sy ny fampiharana ny tsy fahaiza-manaon'ny fikirakirana.
Fanafody ho an'ny Fiovana tsy mety amin'ny fandriam-pahalemana
Manamarina ny fikirakirana mandeha ho azy amin'ny fampiasana Fotodrafitrasa toy ny Code (IaC) ary manao fanaraha-maso fiarovana tsy tapaka. Tazomy ho havaozina amin'ny fanavaozana farany indrindra ny rafitra rehetra.
Xygeni's IaC Security mijery raha misy disy fandrindrana alohan'ny fametrahana azy ary mampihatra tsy tapaka ny politika fiarovana amin'ny tontolo rehetra.
Ohatra eran-tany
Tamin’ny taona 2018 NASA nahita fanitsakitsahana satria fandrindrana diso in Atlassian JIRA nampiharihary ny angon-drakitra saro-pady momba ny tetikasa sy ny mpiasa. Niditra tao amin'ny fampahalalana ireo mpanafika noho ny fikirakirana misokatra. Ny fanamarinana fiarovana mandeha ho azy sy ny fampiharana ny politika fikirakirana mety dia mety ho nisoroka ity fandikan-dalàna ity. Ny fanaraha-maso tsy tapaka dia ho nahita ny fahalemena talohan'ny nampiasan'ireo mpanafika azy.
Nahoana no zava-dehibe izany ankehitriny? Serivisy rahona tsy voalamina tsara, CI/CD pipelineNy s, ny fitoeran-javatra, ary ny interface administratif mibaribary dia mbola iray amin'ireo antony lehibe mahatonga ny fanitsakitsahana fiarovana maoderina.
6. Singa marefo sy efa lany andro (A06:2021)
Inona avy ireo singa marefo sy efa lany andro?
Mitranga ireo singa marefo sy efa lany andro rehefa mampiasa tranomboky na rafitra avy amin'ny antoko fahatelo izay fantatra fa misy lesoka ara-piarovana ianao. Afaka manararaotra ireo lesoka ireo ny mpanafika mba hanimbana ny fampiharanao. Loza mampidi-doza manokana izany, satria hatramin'ny 60% amin'ireo fampiharana maoderina dia namboarina tamin'ny singa avy amin'ny antoko fahatelo.
Fanafody ho an'ny Singa marefo sy efa lany andro
Havaozy tsy tapaka ireo tranomboky sy fiankinan-doha avy amin'ny antoko fahatelo, ary ampiasao ny Software Composition Analysis (SCA) fitaovana hamantarana sy hanamboarana ireo lesoka.
Xygeni's Open Source Security Mijery ireo zavatra miankina aminao mba hisorohana ny fampiasana singa efa lany andro na manimba, ka manampy anao hitazona rindranasa azo antoka.
Ohatra eran-tany
In 2017, Apache Struts nanana fahalemena tsy voavaha izay nitarika ho amin'ny Fanitsakitsahana ny Equifax, misy fiantraikany amin'ny mpampiasa an-tapitrisany maro. Ny fahalemena dia tao amin'ny Apache Struts 2, rafitra ampiasaina betsaka, ary tsy nahavita nampihatra ny patch ara-potoana ny Equifax. Izany dia namela ny rafitr'izy ireo ho tratran'ny fanararaotana. Ny fanavaozana ara-potoana sy ny fijerena tsy tapaka ny fahalemena dia ho nisoroka ity fanitsakitsahana ity.
Nahoana no zava-dehibe izany ankehitriny? Miankina betsaka amin'ny fonosana open source sy tranomboky avy amin'ny antoko fahatelo ny fampiharana maoderina, ka mahatonga ny fanafihana amin'ny rojo famatsiana rindrambaiko sy ny fiankinan-doha marefo ho olana mitombo ao amin'ny AppSec.
7. Tsy fahombiazan'ny fanamarinana (A07:2021)
Inona avy ireo tsy fahombiazan'ny famantarana sy ny fanamarinana?
Mitranga ireo fahalemena ireo rehefa malemy na tsy ampiharina araka ny tokony ho izy ny fomba fanamarinana, ka ahafahan'ny mpanafika mandingana ny fanaraha-maso ny fiarovana.
Fanafody ho an'ny Tsy fahombiazan'ny famantarana sy fanamarinana
Ampiharo politika matanjaka momba ny tenimiafina, ampiharo ny fanamarinana misy antony maro (MFA), ary araho maso ny log-n'ny fanamarinana mba hisorohana ny fidirana tsy nahazoana alalana.
Manampy amin'ny fiarovana ny mombamomba anao ny Xygeni's Secrets Security, mampihena ny mety hisian'ny fivoahan'ny angon-drakitra mandritra ny fizotran'ny fanamarinana.
Ohatra eran-tany
In 2020, ny Peratra fakan-tsary fiarovana Ny fidirana an-keriny dia vokatry ny tenimiafina malemy. Nampiasa tenimiafina tsotra ireo mpanafika ary nahazo fidirana tamin'ny horonan-tsary mivantana avy amin'ny fakan-tsarin'ny mpampiasa an'arivonyIty fanitsakitsahana ity dia manasongadina ny filàna mafy orina kokoa amin'ny fomba fanamarinana. Noho izany, ny fampiharana multi-factor authentication (MFA) ary fampiharana politika tenimiafina matanjaka ho nisoroka mora foana ny fidirana tsy nahazoana alalana.
Nahoana no zava-dehibe izany ankehitriny? Mbola mamela ny fakana an-keriny ny kaonty, ny fanafihana famenoana ny fahazoan-dàlana, ary ny fidirana tsy nahazoana alalana amin'ny alàlan'ny SaaS, rahona, ary enterprise fangatahana.
8. Tsy fahombiazan'ny rindrambaiko sy ny fahamarinan'ny angona (A08:2021)
Inona avy ireo tsy fahombiazan'ny rindrambaiko sy ny angona?
Mitranga ireo fahalemena ireo rehefa tsy miaro amin'ny fanodinkodinana ny kaody na ny fotodrafitrasa. Mety hanimba ny fananganana ny mpanafika. pipelines, fiankinan-doha, na dingana fametrahana, mampiditra kaody ratsy amin'ny fanavaozana azo itokisana. Io karazana lesoka io dia lasa olana lehibe noho ny fitomboan'ny fanafihana amin'ny rojo famatsiana, izay na dia ireo singa avy amin'ny antoko fahatelo azo itokisana aza dia kendrena hiditra an-tsokosoko amin'ny tambajotra.
Fanafody ho an'ny Tsy fahombiazan'ny rindrambaiko sy ny fahamarinan'ny angona
Mba hampihenana izany, ampiharo ny sonia kaody, ampiasao ny dingana fananganana azo antoka, ary hamarino ny fahamarinan'ny singa rehetra avy amin'ny antoko fahatelo.
Xygeni's CI/CD Security manome antoka fa ny pipelineVoaaro sy arahi-maso tsara ny tsy fetezana. Ny Famantarana ny Tsy Fetezana an'ny Xygeni dia afaka mamantatra ireo hetsika mampiahiahy izay mety manondro fanodinkodinana.
Ohatra eran-tany
In 2024, fanafihana goavana teo amin'ny rojo famatsiana nokendrena XZ Uils, tranomboky famatrarana ampiasaina betsaka amin'ny rafitra Linux. Fitaovana tena ilaina ampiasaina amin'ny famatrarana rakitra ny XZ Utils, izay atokisan'ny fikambanana an'arivony maro. Na izany aza, nahomby tamin'ny fanimbana ny fizotran'ny fananganana ny tetikasa ireo mpanafika tamin'ny alàlan'ny fampidirana varavarana ambadika tao amin'ny kaody.
Tsy voamarika nandritra ny fotoana kelikely ireo mpanafika, izay midika fa ireo rafitra miantehitra amin'ny tranomboky voajirika dia mora tratran'ny fampiharana kaody lavitra sy fanararaotana bebe kokoa. Vokatr'izany, ireo mpanafika ireo dia nahazo ny fifehezana ireo rafitra voakasik'izany, izay nitarika ho amin'ny fanitsakitsahana angon-drakitra sy ny fanitsakitsahana ny fampahalalana saro-pady.
Ity tranga ity dia fampahatsiahivana mazava ny amin'ny loza ateraky ny fanafihana rojo famatsiana. Na dia tranomboky azo itokisana aza dia azo amboarina mba hanimba rafitra maro. Amin'ny alàlan'ny fiantohana ny fiarovana ny fizotran'ny fananganana, ny fampiasana teknika fanasoniavana kaody, ary ny fanaraha-maso tsy tapaka ny singa avy amin'ny antoko fahatelo, dia afaka misoroka ny fidiran'ny fahalemena toy izany ao amin'ny rafitr'izy ireo ny fikambanana.
Nahoana no zava-dehibe izany ankehitriny? Fanafihana amin'ny rojo famatsiana rindrambaiko mikendry ny fananganana pipelines, rejisitry ny fonosana, fiankinan-doha, ary CI/CD lasa risika lehibe ho an'ny fampandrosoana rindrambaiko maoderina ny rafitra.
9. Tsy fahombiazan'ny firaketana sy fanaraha-maso ny fiarovana (A09:2021)
Inona avy ireo tsy fahombiazan'ny fanaraha-maso sy ny fandrindrana ny fiarovana?
Mitranga ireo tsy fahombiazana ireo rehefa tsy mirakitra tsara ny hetsika fiarovana na tsy manana rafitra fanaraha-maso ny fampiharana. Raha tsy misy ny log amin'ny antsipiriany, dia ho sarotra ny mamantatra sy mamaly ny fanafihana. Matetika ireo fahalemena ireo dia manemotra ny fahitana ny fihoaram-pefy, ka mamela ny mpanafika hanararaotra ny rafitra mandritra ny fotoana maharitra.
Fanafody ho an'ny Tsy fahombiazan'ny firaketana sy fanaraha-maso ny fiarovana
Alefaso ny firaketana an-tsoratra feno ho an'ny hetsika manan-danja rehetra, tehirizo soa aman-tsara ny firaketana an-tsoratra, ary ataovy izay hanaraha-maso azy ireo raha misy hetsika mampiahiahy. Ankoatra izany, ampiasao fitaovana mandeha ho azy mba hampitandremana anao amin'ny fandrahonana mety hitranga.
Fitihana ny tsy fetezan'i Xygeni manampy amin'ny famantarana ireo hetsika tsy mahazatra amin'ny fotoana tena izy. Fanampin'izany, CI/CD Ny fiarovana dia miantoka fa ampiharina tsy tapaka manerana ny tontolo iainana ny fikirakirana ny firaketana an-tsoratra sy ny fanaraha-maso.
Ohatra eran-tany
In 2023, Uber niaina fanitsakitsahana angon-drakitra izay nanimba ny mombamomba ny mpamily an'arivonyNitranga ny fandikan-dalàna rehefa nisy orinasa mpisolovava antoko fahatelo, Genova Burns, niharan'ny tranga fiarovana, ka namoaka ny angon-drakitra. Na dia nisy aza ny fanairana, dia tsy nahavita namantatra sy namaly haingana ny fanafihana ny rafitra fanaraha-mason'ny Uber.
Nahazo fampahalalana saro-pady ireo mpanafika, anisan'izany ny anarana, ny laharan-telefaona ary ny firaketana ny fiara. Ny tsy fahampian'ny firaketana an-tsoratra feno sy ny tsy fahampian'ny rafitra fanaraha-maso no tena nahatonga ity fahatarana ity.
Raha nanara-maso tsara ny fidirana amin'ny rafitra misy azy ny Uber ary nampihatra fomba fanao tsara kokoa amin'ny fandraketana angon-drakitra, dia ho nahita haingana kokoa ny fandikan-dalàna izy ireo. Vokatr'izany, dia ho afaka nampihena ny fahasimbana ara-bola sy ny fatiantoka ara-barotra ny orinasa. Manamafy ny maha-zava-dehibe ny fitazonana rafitra fandraketana sy fanaraha-maso mahomby ity fandikan-dalàna ity mba hamantarana sy hampihenana ny fandrahonana mialoha.
Nahoana no zava-dehibe izany ankehitriny? Raha tsy misy ny fahitana sy ny fanaraha-maso sahaza, dia sahirana ireo fikambanana mamantatra mialoha ny fanafihana, ka mahatonga ireo mpanafika tsy ho hita mandritra ny fotoana maharitra.
10. Fangatahana hosoka amin'ny lafiny mpizara (SSRF) (A10:2021)
Inona no atao hoe Fangatahana Hosoka amin'ny Lafiny Mpizara?
Mitranga ny SSRF rehefa mamitaka ny mpizara ny mpanafika mba hanao fangatahana any amin'ny toerana tsy nahy, matetika miditra amin'ny serivisy anatiny izay tokony ho voafetra. Ity fahalemena ity dia ahafahan'ny mpanafika miditra amin'ny angon-drakitra saro-pady na manatanteraka baiko amin'ny rafitra anatiny.
Fanafody ho an'ny SSRF
Mba hisorohana ny SSRF, hamarino ny fidiran'ny mpampiasa rehetra ary ferana ny fahafahan'ny mpizara manao fangatahana mivoaka. Fanampin'izany, ampiasao ny lisitry ny fahazoan-dàlana mba hifehezana izay URL azon'ny mpizara idirana.
Xygeni's CI/CD Manampy amin'ny fanaraha-maso ny fiarovana pipelines ho an'ny mety ho fahalemen'ny SSRF. Ankoatra izany, ny Xygeni's Anomaly Detection dia afaka mahita lamina fangatahana tsy ampoizina na mampiahiahy.
Ohatra eran-tany
In 2022, fahalemena lehibe amin'ny Microsoft Exchange (CVE-2022-41040) nohararaotin'ireo mpanafika tamin'ny fampiasana teknika SSRF. Afaka nandefa fangatahana ratsy tany amin'ny mpizara Exchange ireo mpanafika, nandingana ny fiarovana anatiny.
Rehefa tafiditra tao anatiny ireo mpanafika dia niditra tao amin'ny rafitra anatiny ary nanimba angon-drakitra saro-pady. Amin'ny fampiasana ny SSRF, nahazo fidirana tsy nahazoana alalana tamin'ireo loharanon-karena anatiny voafetra izy ireo, izay nitarika ho amin'ny fanitsakitsahana goavana ny fiarovana.
Mampidi-doza indrindra ny fahalemen'ny SSRF satria manome fahafahana ireo mpanafika hiditra amin'ny rafitra anatiny izay tsy tokony haseho amin'ny besinimaro. Raha toa ka nampihatra fanamarinana fidirana henjana kokoa sy fameperana fangatahana mivoaka ny Microsoft, dia ho afaka nanakana ny fiezahan'ireo mpanafika hanararaotra io fahalemena io izy ireo. Ity fanitsakitsahana ity dia mampiseho ny maha-zava-dehibe ny fanaraha-maso ny fangatahana mpizara amin'ny loharano anatiny saro-pady ary ny fiantohana fa ireo loharano azo itokisana sy voamarina ihany no afaka mifandray amin'izy ireo.
Nahoana no zava-dehibe izany ankehitriny? Nampitombo ny fiantraikan'ny fahalemena SSRF, izay ampiasain'ny mpanafika hidirana amin'ny serivisy anatiny sy rafitra metadata saro-pady, ny maritrano cloud-native sy ny API anatiny.
Nahoana no mbola manan-danja ny OWASP Top 10
The Ireo fahalemena 10 ambony indrindra an'ny OWASP dia tena ilaina ho an'ny fikambanana mikendry ny hiaro ny fampiharana azy ireo amin'ireo fandrahonana mahazatra sy mampidi-doza indrindra. Tsy teorika ireo risika ireo; maneho ireo risika tena izy izay mety hitarika amin'ny fanitsakitsahana angon-drakitra, fatiantoka ara-bola ary fahasimban'ny laza izy ireo. Amin'ny alàlan'ny fiatrehana mialoha ireo fahalemena ireo, dia afaka mampihena be ny mety hisian'ny fanafihana mahomby ny fikambanana ary miantoka fa mahatanty ny fandrahonana mivoatra ny rafitr'izy ireo.
Ankoatra izany, ny fampiharana ireo vahaolana atolotra ao amin'ny lisitry ny fahalemena OWASP Top 10 dia manampy ireo fikambanana handray fomba fiasa stratejika amin'ny fiarovana. Ohatra, ny fanamafisana ny fanaraha-maso ny fidirana, ny fiarovana ny fomba fanao amin'ny fanafenana, ary ny fampihenana ny loza ateraky ny rojo famatsiana dia samy mitana anjara toerana lehibe amin'ny famahana ireo fahalemena ireo. Vokatr'izany, mampihena ny velaran'ny fanafihana ny fikambanana, ka mahatonga azy ho sarotra kokoa ho an'ny mpanafika ny manararaotra ny fahalemena ao amin'ny rafitra.
Rehefa mivoatra ny fandrahonana an-tserasera dia tena ilaina ho an'ny fikambanana ny mijanona ho lohalaharana amin'ireo mety ho fahalemena. Amin'ny alàlan'ny fandraisana andraikitra mialoha, dia miantoka ny fiarovana maharitra ho an'ny fampiharana ataony ny fikambanana ary mitazona ny fitokisan'ny mpampiasa azy.
Ankoatra ireo fahalemena mahazatra ao amin'ny OWASP Top 10, ireo fikambanana dia miatrika hatrany ireo fonosana open source maloto, fanafihana fisafotofotoana momba ny fiankinan-doha, fampielezan-kevitra diso tsipelina, kaody tsy azo antoka novokarin'ny AI, CI/CD pipeline fisolokiana, famoahana tsiambaratelo, ary malware amin'ny rojo famatsiana rindrambaiko.
Miha-mampifangaro hatrany ny tari-dalana OWASP amin'ny programa AppSec maoderina software supply chain security, fiarovana ny AI, ary famakafakana ny mety ho loza ateraky ny fampiasana azy mandritra ny fotoana fiasana mba handaminana ny fivoaran'ny karazana fanafihana.
Ahoana no fomba fanohanan'ny Xygeni ny hetsika OWASP sy OWASP SAMM
Ny firesahana ny Ireo fahalemena 10 ambony indrindra an'ny OWASP tena ilaina amin'ny fiarovana ireo rindranasa tranonkala. Na izany aza, tsy mijanona eo ny fiarovana ny fangatahanao. Ny Modely Fahamatorana amin'ny Fanomezan-toky ny Rindrambaiko OWASP (SAMM) manome rafitra iray hanombanana sy hanatsarana ny fahamatoran'ny fiarovanao mandritra ny tsingerin'ny fampandrosoana rindrambaiko (SDLC). Amin'ny fampidirana Noho ireo fitaovana fiarovana feno an'ny Xygeni, tsy vitan'ny hoe afaka mampihena ny Ireo lesoka fiarovana 10 ambony indrindra an'ny OWASP fa manatsara ihany koa ny fahamatoran'ny fiarovana amin'ny ankapobeny, araka ny voalazan'ny OWASP SAMM.
Fanamafisana ny fiarovana ny rindranasa miaraka amin'ny Xygeni
Manome hery ireo fikambanana hiatrika ny olana ny Xygeni Lisitry ny fahalemena 10 ambony indrindra an'ny OWASP sady manafaingana ny fampiasana ny OWASP SAMM, manampy ireo fikambanana hanatsara hatrany ny fahamatorana amin'ny fiarovana ny rindrambaiko. Amin'ny alàlan'ny fanaovana ho azy ny fanaraha-maso ny fiarovana, ny fanomezana laharam-pahamehana mifototra amin'ny risika, ary ny fanamafisana ny fitantanana ny tranga, ny Xygeni dia manampy ireo fikambanana hanangana rindrambaiko azo antoka sy mahatanty, izay mampihena tsara ny mety hisian'ny fanitsakitsahana ny fiarovana.
Amin'ny alàlan'ny fanaraha-maso mivantana, ny famantarana ny fahalemena mandeha ho azy, ary ny fampiharana ny politika manerana ny SDLCManamora ny ezaka fiarovana sy ny fanarahan-dalàna ny Xygeni, mifanaraka amin'ny fomba fanao tsara indrindra an'ny OWASP SAMM. Izany dia ahafahan'ny fikambanana mampitombo tsikelikely ny fahamatorany amin'ny fiarovana, miaraka amin'ny drafitra mazava ho an'ny fanatsarana mitohy.
Manaova zavatra izao mba hiarovana ny fampiharanao
The Ireo fahalemena 10 ambony indrindra an'ny OWASP manasongadina ireo risika ara-piarovana maika indrindra atrehin'ny fampiharana maoderina. Amin'ny fanarahana ny Torolàlana OWASP ary mampihatra ireo fomba fanao tsara indrindra voalaza eto, azonao atao arovy amin'ireo fandrahonana ireo ny fikambanananao ary manorina fampiharana izay mahatanty fanafihana sarotra.
Hamafiso ny fiarovana ny fampiharanao ary Software Supply Chain Security.
Mitaky mihoatra noho ny fitiliana ny fahalemena nentim-paharazana ny fampiharana maoderina. Xygeni manampy ireo fikambanana hamantatra, hanome laharam-pahamehana ary handamina ireo risika 10 ambony indrindra an'ny OWASP amin'ny alàlan'ny kaody loharano, ny fiankinan-doha amin'ny loharano misokatra, CI/CD pipelines, fotodrafitrasa rahona, ary fomba fiasa fampandrosoana tohanan'ny AI.
Fantaro ny fomba hanampian'i Xygeni ny ekipa AppSec sy DevSecOps hampihena ny risika manerana ny maoderina SDLC!
