OWASP Top 10 ndi imodzi mwa njira zodziwika bwino zotetezera mapulogalamu pozindikira ndikuchepetsa zoopsa zofunika kwambiri zachitetezo cha mapulogalamu apaintaneti. Bukuli likufotokoza zoopsa za OWASP Top 10, zitsanzo zenizeni, njira zabwino zothanirana ndi mavuto, komanso momwe AppSec yamakono ndi software supply chain security Mayankho amathandiza mabungwe kuchepetsa chiopsezo m'mabungwe onse SDLC.
Pulojekiti Yoteteza Mapulogalamu Otseguka pa Intaneti (OWASP)
Pulojekiti Yoteteza Mapulogalamu Otseguka pa Intaneti (OWASP) ndi bungwe lotsogola lopanda phindu lodzipereka pakukweza chitetezo cha mapulogalamu. OWASP imadziwika ndi kuwonekera bwino kwake komanso commitKupereka mayankho oyendetsedwa ndi anthu ammudzi, zomwe zapangitsa kuti ikhale chida chofunikira kwambiri kwa opanga mapulogalamu, akatswiri achitetezo, ndi mabungwe omwe akufuna kugwiritsa ntchito njira zabwino kwambiri zachitetezo. Pakati pa zopereka zake zambiri, chimodzi mwazofunikira kwambiri ndi OWASP Top 10, mndandanda wosinthidwa nthawi zonse wa zoopsa zazikulu kwambiri zachitetezo cha mapulogalamu apaintaneti zomwe zimakhudza mapulogalamu amakono. Ikuwonetsa zovuta zazikulu kwambiri pa mapulogalamu apaintaneti, kutengera deta yeniyeni ndi chidziwitso cha akatswiri.
Cholinga cha OWASP ndikupangitsa chitetezo kukhala chosavuta kumva komanso chosavuta kugwiritsa ntchito, kupereka zida, ma framework, ndi chidziwitso chothandiza kuteteza mapulogalamu kuyambira pachiyambi. OWASP Top 10 imagwira ntchito ngati framework yothandiza opanga mapulogalamu kuyang'ana kwambiri pa zovuta zomwe ndizofunikira kwambiri, ndikuwonetsetsa kuti atha kugwiritsa ntchito njira zofunikira moyenera.
Ma OWASP 10 Apamwamba
OWASP Top 10 ndi chida chachikulu chotetezera mapulogalamu a pa intaneti kwa mabungwe omwe amateteza mapulogalamu amakono a pa intaneti. Kwa bungwe lililonse lomwe likugwira ntchito yoteteza mapulogalamu a pa intaneti. Imafotokoza zoopsa zofunika kwambiri zachitetezo, kupereka chidziwitso cha njira zomwe mapulogalamu amasokonezedwera. Zofooka za OWASP Top 10 zikuwonetsa zoopsa zazikuluzikuluzi, ndikupereka malangizo othandiza kuti achepetse. Kuthetsa zofookazi mwachindunji ndikofunikira kuti kulimbikitse chitetezo cha pulogalamu iliyonse.
Kodi OWASP Top 10 ndi Machiritso Awo ndi Chiyani?
OWASP Top 10 ndi chikalata chodziwika padziko lonse chodziwitsa anthu chomwe chimafalitsidwa ndi Open Web Application Security Project (OWASP). Chimazindikira zoopsa zazikulu kwambiri zokhudzana ndi chitetezo zomwe zimakhudza mapulogalamu amakono a pa intaneti kutengera deta yeniyeni yowukira, kafukufuku wa anthu ammudzi, ndi kusanthula kwa makampani. Mndandandawu umathandiza opanga mapulogalamu, magulu a AppSec, mainjiniya a DevSecOps, ndi atsogoleri achitetezo kuyika patsogolo zofooka zomwe zimayambitsa chiopsezo chachikulu ku mapulogalamu, ma API, ndi maunyolo operekera mapulogalamu.
OWASP Top 10 yomwe ilipo pano ikuphatikizapo magulu achitetezo monga Broken Access Control, Injection, Security Misconfiguration, Vulnerable and Olddated Components, Software and Data Integrity Failure, ndi Server-Side Request Forgery (SSRF). Kumvetsetsa zoopsazi ndikugwiritsa ntchito njira zoyenera zothanirana ndi vutoli ndikofunikira popanga mapulogalamu otetezeka, kuchepetsa kufalikira kwa chitetezo cha mapulogalamu, komanso kuteteza mabungwe ku ziwopsezo zamakono za pa intaneti.
Magulu 10 Apamwamba a OWASP
OWASP Top 10 Vulnerability Mwachidule
| Gulu la OWASP | Kuopsa Kwambiri | Zomwe Zimachitika |
|---|---|---|
| Kusokoneza Access Control | Kufikira kosaloledwa | Kuwonetsa deta |
| Kulephera kwa Cryptographic | Kubisa kofooka | Kuba deta mwangozi |
| Kupweteka | Kuyika koyipa | Kugwirizana kwa database |
| Kapangidwe Kosatetezeka | Zofooka za zomangamanga | Zofooka za dongosolo lonse |
| Kusasinthika kwachitetezo | Kukhazikitsa kolakwika | Kufikira kosaloledwa |
| Zigawo Zowonongeka | Zodalira zakale | Mgwirizano wa unyolo wogulira zinthu |
| Kulephera Kutsimikizira | Zoletsa zofooka za chizindikiritso | Kutenga akaunti |
| Kulephera kwa Umphumphu wa Mapulogalamu | Kusokoneza kapangidwe/kudalira | Kuyika pulogalamu yaumbanda |
| Kulephera kwa Kulemba ndi Kuwunika | Kuzindikira mochedwa | Nthawi yayitali yotsalira ya wowukira |
| Mtengo wa SSRF | Kuphwanya malamulo amkati mwa pempho | Kugwirizana kwa ntchito zamkati |
1. Kuwongolera Kosweka kwa Malo Olowera (A01:2021)
Kodi Broken Access Control ndi chiyani?
Kuletsa Kupeza Zinthu Molakwika kumachitika pamene ogwiritsa ntchito apeza mwayi wosaloledwa wopeza deta kapena zochita. Mwachitsanzo, wowukira angasinthe URL kuti apeze mwayi wolowera kwa woyang'anira. OWASP adapeza vutoli mu 94% ya mapulogalamu omwe adayesedwa, zomwe zimapangitsa kuti likhale limodzi mwa zovuta zachitetezo za OWASP Top 10.
Machiritso a Kuletsa Kulowa Molakwika
Kuti muchepetse chiopsezochi, tsatirani njira zopezera mwayi wocheperako, gwiritsani ntchito multi-factor authentication (MFA) pa ntchito zovuta, komanso fufuzani zilolezo za ogwiritsa ntchito nthawi zonse.
Chitetezo cha Zinsinsi za Xygeni Zimathandiza kuteteza zambiri zachinsinsi monga makiyi a API ndi ma tokeni, kuchepetsa chiopsezo cha kuphwanya malamulo oyendetsera kulowa. Kuwunika kosalekeza kumaonetsetsa kuti dongosolo lanu likuyenda bwino.
Chitsanzo cha Rael-World
In 2019, Malingaliro a kampani First American Financial Corp kuonekera pamwamba Zolemba zobisika zokwana 850 miliyoni chifukwa cha kuwongolera kosayenera kwa anthu olowa. Owukira angangosintha URL kuti apeze zikalata zachinsinsi. Ponyalanyaza kuteteza malo olowera bwino, kampaniyo inasiya deta yachinsinsi ili pachiwopsezo. Chochitikachi chikugogomezera kufunika kotsimikizira udindo wa ogwiritsa ntchito ndikuwonetsetsa kuti anthu ovomerezeka okha ndi omwe angathe kupeza zambiri zachinsinsi.
N’chifukwa chiyani zili zofunika masiku ano? Mapulogalamu amakono amavumbula ma API, mautumiki amtambo, ndi maudindo a ogwiritsa ntchito omwe amagawidwa, zomwe zimapangitsa kuti mwayi wosaloledwa ukhale umodzi mwa zoopsa zodziwika bwino komanso zowononga chitetezo zomwe zimakhudza deta yachinsinsi yabizinesi.
2. Kulephera kwa Cryptographic (A02:2021)
Kodi Kulephera kwa Cryptographic ndi Chiyani?
Kulephera kwa Cryptographic kumachitika pamene makina alephera kusunga deta yachinsinsi moyenera, zomwe zimapangitsa kuti owukira azitha kuigwiritsa ntchito molakwika. Kubisa kwamphamvu ndikofunikira kwambiri poteteza deta yachinsinsi.
Machiritso a Kulephera kwa Cryptographic
Sungani deta yosungidwa pogwiritsa ntchito AES-256 ndipo gwiritsani ntchito TLS 1.2 kapena kuposerapo kuti deta ipite. Sinthanitsani makiyi obisa nthawi zonse ndikuwateteza pogwiritsa ntchito njira zoyenera zolowera.
Zipangizo Zamakono za Xygeni monga Khodi (IaCChitetezo imayang'ana makonda a encryption panthawi yogwiritsa ntchito kuti apewe zofooka mu mfundo za encryption.
Chitsanzo Chadziko Lonse
Mu 2017, Ndemanga, kampani yosonkhanitsa deta, adavumbulutsa zolemba za anthu 340 miliyoni chifukwa cha kubisa kosayenera. Oukira adapeza zambiri zaumwini monga mayina, maadiresi, ndi manambala a foni chifukwa detayo idasungidwa m'mawu osavuta. Kuphwanya kumeneku kukuwonetsa zoopsa zolephera kubisa deta yachinsinsi. Pogwiritsa ntchito kubisa koyenera standardMabungwe monga AES-256 ya deta yomwe ili pamalo opumulirako ndi TLS ya deta yomwe ikudutsa, amatha kuteteza deta yawo kuti isalowe m'malo osaloledwa.
N’chifukwa chiyani zili zofunika masiku ano? Mabungwe akusunga ndikusamutsa deta yokhudza makasitomala, ndalama, ndi kutsimikizira kudzera mumtambo, zomwe zimapangitsa kuti kubisa kwamphamvu kukhale kofunikira kuti ateteze zachinsinsi komanso kutsatira malamulo.
3. Jakisoni (A03:2021)
Kodi Kuukira kwa Jakisoni ndi Chiyani?
Zofooka za jakisoni, monga SQL Injection, zimalola owukira kuyika ma code oyipa mu dongosolo lanu, zomwe zimawathandiza kusintha kapena kuba deta. Kuwukira kwa jakisoni kumakhalabe chimodzi mwa zoopsa zofala komanso zowononga chitetezo cha mapulogalamu zomwe zimakhudza mapulogalamu amakono apaintaneti.
Mankhwala a Kuukira ndi Jakisoni
Gwiritsani ntchito mafunso okonzedwa bwino ndikutsimikizira zomwe ogwiritsa ntchito alemba. Pewani mafunso osinthasintha nthawi iliyonse yomwe zingatheke kuti muchepetse zoopsa.
Kuzindikira Matenda Osazolowereka a Xygeni Oyang'anira CI/CD pipelines pa khalidwe losazolowereka, kupeza njira zoyesera jakisoni nthawi yeniyeni.
Chitsanzo Chadziko Lonse
In 2017, Equifax anavutika a kuphwanya kwakukulu kwa data zomwe zinavumbulutsa zambiri zaumwini za Makasitomala 147 miliyoni. Kuphwanya kumeneku kunabwera chifukwa cha Kufooka kwa jakisoni wa SQL, kulola owukira kusintha tsamba lawebusayiti la kampaniyo ndikupeza deta yachinsinsi yosungidwa mu database. Mabungwe ayenera kuwonetsetsa kuti makina awo amayeretsa bwino zomwe ogwiritsa ntchito amaika. Kukonza ndi kuteteza mafunso a SQL nthawi zonse kukanatha kuletsa kufooka kumeneku.
N’chifukwa chiyani zili zofunika masiku ano? Zofooka za jakisoni zikupitirirabe kukhudza mapulogalamu apaintaneti, ma API, ndi njira zoyendetsera ntchito zothandizidwa ndi AI komwe zolemba zosatsimikizika zimafikira omasulira, ma database, kapena machitidwe obwerera m'mbuyo.
4. Kapangidwe Kosatetezeka (A04:2021)
Kodi Kapangidwe Kosatetezeka N'chiyani?
Kapangidwe Kosatetezeka kumachitika pamene opanga mapulogalamu alephera kuphatikiza chitetezo mu gawo loyambirira la kapangidwe, zomwe zimapangitsa kuti pakhale zovuta zomwe zimakhala zovuta kuzikonza pambuyo pake. Zofooka izi zimakhala zovuta kuzikonza mapulogalamu akafika pamalo opangira.
Mankhwala a Kapangidwe Kosatetezeka
Phatikizani mfundo zotetezeka za kapangidwe kake ndi chitsanzo cha zoopsa kumayambiriro kwa moyo wa chitukuko. Yesani kapangidwe kake nthawi zonse kuti muwone zofooka zomwe zingachitike ndikukonza zisanakhale zovuta zazikulu.
Xygeni's Application Security Posture Management (ASPM) imazindikira zolakwika zomwe zingachitike pakupanga mapulogalamu asanayambe kuwagwiritsa ntchito, kuonetsetsa kuti opanga mapulogalamu ayika chitetezo mu malonda awo kuyambira pachiyambi.
Chitsanzo Chadziko Lonse
Chitsanzo chaposachedwapa cha dziko lenileni cha Kapangidwe Kosatetezeka ndi Zofooka za Microsoft Exchange ProxyShell mu 2021Owukira adagwiritsa ntchito zolakwika pakupanga njira zotsimikizira ndi zowongolera zolowera za Microsoft Exchange, zomwe zidawalola kugwiritsa ntchito ma code patali pa ma seva omwe ali pachiwopsezo. Zofooka izi sizinali zolakwika pakukhazikitsa, koma zofooka zazikulu pakupanga zomwe zidapangitsa kuti kugwiritsa ntchito kutheke ngakhale pambuyo poti ma patches agwiritsidwa ntchito molakwika. Kuphwanya kumeneku kukuwonetsa kufunika kophatikiza chitetezo panthawi yopanga kuti zofooka zisamangidwe mu dongosolo.
N’chifukwa chiyani zili zofunika masiku ano? Zofooka zachitetezo zomwe zayambitsidwa panthawi yokonza zinthu zimakhala zovuta komanso zodula kuzikonza pambuyo pake, makamaka m'malo omwe zinthu zikukula mofulumira komanso omwe akusintha mofulumira.
5. Kusintha Kolakwika kwa Chitetezo (A05:2021)
Kodi Kusasinthika kwa Chitetezo ndi Chiyani?
Chitetezo Kusintha molakwika kumachitika pamene owukira akugwiritsa ntchito machitidwe osakonzedwa bwino, monga omwe amagwiritsa ntchito makonda okhazikika kapena kusiya ma doko osafunikira otseguka. Kusintha molakwika kumakhalabe chimodzi mwa zifukwa zazikulu zomwe zimayambitsa zochitika zachitetezo cha mitambo ndi mapulogalamu.
Mankhwala a Kusasinthika kwachitetezo
Konzani macheke osinthira pogwiritsa ntchito Infrastructure as Code (IaC) ndipo chitani kafukufuku wa chitetezo nthawi zonse. Sungani makina onse atsopano ndi ma patch aposachedwa.
Xygeni's IaC Security imafufuza kuti ione ngati yasintha zinthu molakwika isanayambe kugwiritsidwa ntchito ndipo imatsatira mfundo zachitetezo nthawi zonse m'malo onse.
Chitsanzo Chadziko Lonse
Mu 2018, NASA adakumana ndi vuto chifukwa makonda osasinthidwa bwino in Atlassian JIRA adavumbulutsa deta yachinsinsi ya polojekiti ndi antchito. Owukira adapeza chidziwitsochi chifukwa cha kasinthidwe kotseguka. Kuwunika chitetezo kokha ndi kukakamiza mfundo zoyenera zosinthira kukanatha kuletsa kuphwanya kumeneku. Kuwunika nthawi zonse kukanazindikira kufooka kwa owukira asanagwiritse ntchito.
N’chifukwa chiyani zili zofunika masiku ano? Mautumiki a mtambo osakonzedwa bwino, CI/CD pipelines, makontena, ndi malo owonetsera oyang'anira akadali chimodzi mwa zifukwa zazikulu za kuphwanya chitetezo chamakono.
6. Zigawo Zosatetezeka Komanso Zakale (A06:2021)
Kodi Zigawo Zosatetezeka ndi Zakale ndi Ziti?
Zigawo zomwe zili pachiwopsezo komanso zakale zimachitika mukamagwiritsa ntchito malaibulale kapena ma framework a chipani chachitatu omwe ali ndi zolakwika zodziwika bwino zachitetezo. Owukira amatha kugwiritsa ntchito ziwopsezo izi kuti awononge pulogalamu yanu. Ichi ndi chiwopsezo choopsa kwambiri, chifukwa mpaka 60% ya mapulogalamu amakono amapangidwa ndi zigawo za chipani chachitatu.
Mankhwala a Zigawo Zosatetezeka Komanso Zakale
Sinthani malaibulale a chipani chachitatu nthawi zonse ndi zodalira, ndipo gwiritsani ntchito Kusanthula kwa Kapangidwe ka Mapulogalamu (SCA) zida zopezera ndi kukonza zofooka.
Xygeni's Open Source Security Kusanthula zomwe mumadalira kuti mupewe kugwiritsa ntchito zinthu zakale kapena zoyipa, zomwe zimakuthandizani kuti pulogalamu yanu ikhale yotetezeka.
Chitsanzo Chadziko Lonse
In 2017, Apache Struts anali ndi vuto losasinthika lomwe linapangitsa kuti Kuphwanya kwa Equifax, zimakhudza ogwiritsa ntchito mamiliyoni ambiri. Chiwopsezo chinali mu Apache Struts 2, chimango chomwe chimagwiritsidwa ntchito kwambiri, ndipo Equifax inalephera kugwiritsa ntchito chigambacho pa nthawi yake. Izi zinapangitsa kuti machitidwe awo azitha kugwiritsidwa ntchito. Zosintha pa nthawi yake komanso kusanthula nthawi zonse za chiopsezo zikanaletsa kusweka kumeneku.
N’chifukwa chiyani zili zofunika masiku ano? Mapulogalamu amakono amadalira kwambiri ma phukusi otseguka ndi malaibulale a chipani chachitatu, zomwe zimapangitsa kuti kuukira kwa mapulogalamu ndi kudalira kosatetezeka kukhale nkhawa yomwe ikukulirakulira ya AppSec.
7. Kulephera Kutsimikizira (A07:2021)
Kodi Kulephera Kuzindikira ndi Kutsimikizira ndi Chiyani?
Zofooka izi zimachitika pamene njira zotsimikizira zili zofooka kapena zosagwiritsidwa ntchito bwino, zomwe zimalola owukira kudutsa zowongolera zachitetezo.
Mankhwala a Kulephera Kuzindikira ndi Kutsimikizira
Gwiritsani ntchito mfundo zolimba zachinsinsi, gwiritsani ntchito multi-factor authentication (MFA), ndi zolemba zotsimikizira kuti mufufuze kuti mupewe kulowa kosaloledwa.
Chitetezo cha Zinsinsi za Xygeni chimathandiza kuteteza ziphaso zanu, kuchepetsa chiopsezo cha kutuluka kwa madzi panthawi yotsimikizira.
Chitsanzo Chadziko Lonse
In 2020, ndi Kamera yachitetezo cha mphete Kuphwanya malamulo kunayambitsidwa ndi mawu achinsinsi ofooka. Oukirawo adagwiritsa ntchito mawu achinsinsi osavuta ndipo adapeza mwayi wowonera makanema amoyo kuchokera makamera ambirimbiri a ogwiritsa ntchitoKuphwanya kumeneku kukuwonetsa kufunikira kwakukulu kwa njira zolimba zotsimikizira. Chifukwa chake, kukhazikitsa Multi-Factor Authentication (MFA) ndi kukwaniritsa mfundo zachinsinsi zolimba zikanaletsa mosavuta kulowa kosaloledwa.
N’chifukwa chiyani zili zofunika masiku ano? Njira zofooka zotsimikizira zikupitirizabe kulola kuti akaunti itengedwe, kuukira kwa credential stuffing, ndi mwayi wosaloledwa kudutsa SaaS, cloud, ndi enterprise ntchito.
8. Kulephera kwa Kukhulupirika kwa Mapulogalamu ndi Deta (A08:2021)
Kodi Kulephera kwa Mapulogalamu ndi Kukhulupirika kwa Data ndi Chiyani?
Zofooka izi zimachitika pamene ma code kapena zomangamanga sizikuteteza ku kusokonezedwa. Owukira amatha kuwononga kapangidwe kake pipelines, kudalira, kapena njira zotumizira, kulowetsa ma code oyipa mu zosintha zodalirika. Mtundu uwu wa cholakwika wakhala nkhawa yayikulu chifukwa cha kukwera kwa ziwopsezo za supply chain, komwe ngakhale zigawo zodalirika za chipani chachitatu zimayang'aniridwa kuti zilowe m'maukonde.
Mankhwala a Kulephera kwa Kukhulupirika kwa Mapulogalamu ndi Deta
Kuti muchepetse izi, gwiritsani ntchito kusaina ma code, gwiritsani ntchito njira zomangira zotetezeka, ndikutsimikizira kukhulupirika kwa zigawo zonse za chipani chachitatu.
Xygeni's CI/CD Security zimatsimikizira kuti wanu pipelines ndi otetezeka ndipo amayang'aniridwa kuti aone zolakwika. Xygeni's Anomaly Detection imatha kuzindikira zochitika zokayikitsa zomwe zingasonyeze kusokoneza.
Chitsanzo Chadziko Lonse
In 2024, kuukira kwakukulu kwa unyolo wogulira zinthu Zipangizo za XZ, laibulale yogwiritsira ntchito kwambiri mu makina a Linux. XZ Utils ndi chida chofunikira kwambiri chomwe chimagwiritsidwa ntchito pokanikiza mafayilo, chomwe chimadaliridwa ndi mabungwe ambiri. Komabe, owukira adasokoneza bwino njira yomangira pulojekitiyi polowetsa chitseko chakumbuyo mu code.
Owukirawo sanadziwike kwa kanthawi, zomwe zikutanthauza kuti makina ogwiritsira ntchito laibulale yomwe yawonongeka anali pachiwopsezo chogwiritsa ntchito ma code akutali komanso kugwiritsa ntchito molakwika. Zotsatira zake, owukirawa adapeza mphamvu pa makina omwe akhudzidwa, zomwe zidapangitsa kuti deta iswedwe komanso kuti chidziwitso chachinsinsi chisokonezedwe.
Chochitikachi chikukumbutsa momveka bwino zoopsa zomwe zimachitika chifukwa cha ziwopsezo za unyolo woperekera katundu. Ngakhale laibulale yodalirika kwambiri ikhoza kusinthidwa kuti iwononge machitidwe ambiri. Mwa kuonetsetsa kuti njira zomangira zili zotetezeka, kugwiritsa ntchito njira zosainira ma code, komanso kuyang'anira nthawi zonse magawo a chipani chachitatu, mabungwe amatha kuletsa zofooka zotere kuti zisalowe m'makina awo.
N’chifukwa chiyani zili zofunika masiku ano? Kuukira kwa mapulogalamu operekera mapulogalamu kumayang'ana kwambiri kapangidwe kake pipelines, zolembetsa phukusi, zodalira, ndi CI/CD machitidwe akhala chiopsezo chachikulu pakupanga mapulogalamu amakono.
9. Kulephera kwa Kulemba ndi Kuyang'anira Zachitetezo (A09:2021)
Kodi Kulephera Kulemba ndi Kuyang'anira Zachitetezo ndi Chiyani?
Kulephera kumeneku kumachitika pamene mapulogalamu salemba zochitika zachitetezo moyenera kapena alibe njira zowunikira. Popanda zolemba mwatsatanetsatane, kuzindikira ndi kuyankha ku ziwopsezo kumakhala kovuta. Zofooka izi nthawi zambiri zimachedwetsa kuzindikira kuphwanya malamulo, zomwe zimapangitsa kuti owukira azigwiritsa ntchito makinawo kwa nthawi yayitali.
Mankhwala a Kulephera Kulemba ndi Kuyang'anira Zachitetezo
Yambitsani kulemba zolemba zonse zofunika kwambiri, sungani zolemba mosamala, ndikuwonetsetsa kuti zikuyang'aniridwa ngati pali zochitika zokayikitsa. Kuphatikiza apo, gwiritsani ntchito zida zodziyimira zokha kuti zikuchenjezeni za zoopsa zomwe zingachitike.
Kuzindikira Matenda Osazolowereka a Xygeni zimathandiza kuzindikira zochitika zachilendo nthawi yeniyeni. Kuphatikiza apo, CI/CD Chitetezo chimatsimikizira kuti zolemba ndi kuwunika makonzedwe zimagwiritsidwa ntchito nthawi zonse m'malo osiyanasiyana.
Chitsanzo Chadziko Lonse
In 2023, About adakumana ndi kuphwanya deta komwe adasokoneza zambiri zaumwini za madalaivala zikwizikwiKuphwanya lamuloli kunachitika pamene kampani ya zamalamulo ya chipani chachitatu, Genova Burns, adakumana ndi ngozi yachitetezo, zomwe zidavumbulutsa detayo. Ngakhale kuti machenjezo adayambitsidwa, makina owunikira a Uber adalephera kuzindikira ndikuyankha mwachangu kuukirako.
Owukirawo adapeza mwayi wopeza zambiri zachinsinsi, kuphatikizapo mayina, manambala a foni, ndi zolemba zoyendetsera galimoto. Kuchedwa kumeneku kunali makamaka chifukwa cha kusowa kwa zolemba zonse komanso njira zosakwanira zowunikira.
Ngati Uber akanayang'anira bwino momwe makina ake amagwirira ntchito ndikugwiritsa ntchito njira zabwino zolembera mitengo, akanatha kuzindikira kuphwanya malamulo mwachangu. Chifukwa chake, kampaniyo ikanachepetsa kuwonongeka kwa mbiri komanso kutayika kwa ndalama. Kuphwanya malamulo kumeneku kukuwonetsa kufunika kosunga machitidwe olondola olembera mitengo ndi kuwunika kuti azindikire ndikuchepetsa zoopsa mwachangu.
N’chifukwa chiyani zili zofunika masiku ano? Popanda kuwonekera bwino ndi kuyang'anira bwino, mabungwe amavutika kuzindikira ziwopsezo msanga, zomwe zimapangitsa kuti owukira asadziwike kwa nthawi yayitali.
10. Kufunsira kwachinyengo kwa seva (SSRF) (A10:2021)
Kodi Kufunsira Kolakwika kwa Server-Side ndi Chiyani?
SSRF imachitika pamene owukira anyenga seva kuti ipemphe malo osayembekezereka, nthawi zambiri kupeza mautumiki amkati omwe ayenera kuchepetsedwa. Kusatetezeka kumeneku kumalola owukira kupeza deta yachinsinsi kapena kutsatira malamulo pamakina amkati.
Machiritso a SSRF
Kuti mupewe SSRF, tsimikizirani zonse zomwe ogwiritsa ntchito alowetsa ndikuchepetsa kuthekera kwa seva kupanga mapempho otuluka. Kuphatikiza apo, gwiritsani ntchito mndandanda wololeza kuti muwongolere ma URL omwe seva ingathe kuwapeza.
Xygeni's CI/CD Chitetezo chimathandiza kuwunika pipelines pa zovuta zomwe zingachitike za SSRF. Kuphatikiza apo, Xygeni's Anomaly Detection imatha kugwira machitidwe osayembekezereka kapena okayikitsa a pempho.
Chitsanzo Chadziko Lonse
In 2022, kufooka kwakukulu mu Microsoft Exchange (CVE-2022-41040) idagwiritsidwa ntchito ndi owukira pogwiritsa ntchito njira za SSRF. Owukira adatha kutumiza zopempha zoyipa ku seva ya Exchange, kupyola chitetezo chamkati.
Atalowa mkati, owukirawo adalowa m'makina amkati ndikuwononga deta yachinsinsi. Mwa kugwiritsa ntchito SSRF, adapeza mwayi wosaloledwa wopeza zinthu zamkati zoletsedwa, zomwe zidapangitsa kuti pakhale kuphwanya kwakukulu kwa chitetezo.
Zofooka za SSRF ndizoopsa kwambiri chifukwa zimapatsa owukira mwayi wopeza makina amkati omwe sayenera kuwululidwa kwa anthu onse. Ngati Microsoft ikadakhazikitsa kutsimikizika kokhwima kwa zolowetsa ndi zoletsa zopempha zotuluka, zikanatha kuletsa zoyesayesa za owukira kuti agwiritse ntchito kufooka kumeneku. Kuphwanya kumeneku kukuwonetsa kufunika kolamulira zopempha za seva pazinthu zamkati zofunikira ndikuwonetsetsa kuti magwero odalirika komanso otsimikizika okha ndi omwe angalumikizane nawo.
N’chifukwa chiyani zili zofunika masiku ano? Mapangidwe amkati mwa mtambo ndi ma API amkati awonjezera mphamvu ya SSRF, yomwe owukira amagwiritsa ntchito kuti apeze mautumiki amkati ofunikira komanso machitidwe a metadata.
Chifukwa Chake OWASP Top 10 Idakali Yofunika
The Zofooka 10 Zapamwamba za OWASP ndi ofunikira kwambiri m'mabungwe omwe akufuna kuteteza mapulogalamu awo ku ziwopsezo zofala komanso zoopsa. Ziwopsezo izi sizongopeka; zikuyimira zoopsa zenizeni zomwe zingayambitse kuswa deta, kutayika kwa ndalama, komanso kuwonongeka kwa mbiri. Mwa kuthana ndi zofooka izi mwachangu, mabungwe amatha kuchepetsa kwambiri chiopsezo cha ziwopsezo zopambana ndikuwonetsetsa kuti machitidwe awo ndi olimba motsutsana ndi ziwopsezo zomwe zikusintha.
Kuphatikiza apo, kugwiritsa ntchito njira zomwe zalangizidwa zomwe zili pamndandanda wa zofooka za OWASP Top 10 kumathandiza mabungwe kutenga njira yolondola yopezera chitetezo. Mwachitsanzo, kulimbitsa njira zopezera, kuteteza njira zotetezera, komanso kuchepetsa zoopsa za unyolo woperekera zinthu zonse zimagwira ntchito yofunika kwambiri pothana ndi zofookazi. Zotsatira zake, mabungwe amachepetsa malo owukira, zomwe zimapangitsa kuti zikhale zovuta kwa owukira kugwiritsa ntchito zofooka zomwe zili mu dongosololi.
Pamene ziwopsezo za pa intaneti zikukula, ndikofunikira kuti mabungwe azitsatira zomwe zingatheke. Mwa kuchitapo kanthu msanga, mabungwe amaonetsetsa kuti mapulogalamu awo atetezedwa kwa nthawi yayitali ndikusunga chidaliro cha ogwiritsa ntchito awo.
Kupatula zovuta zachikhalidwe za OWASP Top 10, mabungwe akukumana ndi ma phukusi otseguka owopsa, ziwopsezo zosokoneza anthu odalira, ma campaign olemba, ma code osatetezeka opangidwa ndi AI, CI/CD pipeline kusagwirizana, kubisika kwachinsinsi, ndi pulogalamu yaumbanda yopereka mapulogalamu.
Mapulogalamu amakono a AppSec akuphatikiza malangizo a OWASP ndi software supply chain security, chitetezo cha AI, ndi kusanthula zoopsa zomwe zingachitike nthawi yogwirira ntchito kuti zithetse mavuto omwe akuchitika.
Momwe Xygeni Imathandizira Ma OWASP ndi OWASP SAMM Initiatives
Kulankhula ndi Zofooka 10 Zapamwamba za OWASP ndikofunikira kwambiri kuti mapulogalamu apaintaneti atetezedwe. KomabeKuteteza fomu yanu sikungoyima pamenepo. Chitsanzo cha Kukhwima kwa Pulogalamu ya OWASP (SAMM) imapereka njira yowunikira ndikukweza kukhwima kwa chitetezo chanu pa moyo wonse wopanga mapulogalamu (SDLC). Mwa kuphatikiza Mabungwe, omwe ali ndi zida zambiri zachitetezo ku Xygeni, samangochepetsa vutoli. Zofooka 10 zapamwamba zachitetezo za OWASP komanso kukulitsa kukhwima kwawo kwa chitetezo, monga momwe zafotokozedwera ndi OWASP SAMM.
Kulimbitsa Chitetezo cha Mapulogalamu ndi Xygeni
Xygeni imapatsa mphamvu mabungwe kuti athetse mavutowa mndandanda wa zofooka 10 zapamwamba za OWASP pamene ikufulumizitsa kugwiritsa ntchito OWASP SAMM, kuthandiza mabungwe kupitilizabe kukulitsa chitetezo cha mapulogalamu. Mwa kupanga makina owongolera chitetezo, kulola kuyika patsogolo zoopsa, komanso kulimbitsa kayendetsedwe ka zochitika, Xygeni imathandiza mabungwe kupanga mapulogalamu otetezeka komanso olimba, kuchepetsa bwino chiopsezo cha kuphwanya malamulo achitetezo.
Kudzera mu kuyang'anira nthawi yeniyeni, kuzindikira zofooka zokha, komanso kukhazikitsa malamulo m'malo onse SDLC, Xygeni imapangitsa kuti chitetezo chikhale chosavuta komanso kuti anthu azitsatira malamulo, mogwirizana ndi njira zabwino za OWASP SAMM. Izi zimathandiza mabungwe kuti apititse patsogolo kukhwima kwawo pachitetezo, ndi njira yomveka bwino yopititsira patsogolo kusintha.
Chitanipo Kanthu Tsopano Kuti Muteteze Mapulogalamu Anu
The Zofooka 10 Zapamwamba za OWASP onetsani zoopsa zazikulu kwambiri zachitetezo zomwe mapulogalamu amakono akukumana nazo. Potsatira izi Malangizo a OWASP ndi kugwiritsa ntchito njira zabwino kwambiri zomwe zafotokozedwa pano, mungathe tetezani bungwe lanu ku ziwopsezo izi ndikupanga mapulogalamu omwe amalimbana ndi ziwopsezo zamakono.
Limbitsani Chitetezo cha Pulogalamu Yanu ndi Software Supply Chain Security.
Mapulogalamu amakono amafunikira zambiri kuposa kungoyang'ana mwachizolowezi zachiwopsezo. Xygeni zimathandiza mabungwe kuzindikira, kuika patsogolo, ndikukonza zoopsa 10 zapamwamba za OWASP kudzera mu ma code a gwero, kudalira ma source open source, CI/CD pipelines, zomangamanga zamtambo, ndi njira zogwirira ntchito zopititsira patsogolo ntchito zothandizidwa ndi AI.
Dziwani momwe Xygeni imathandizira magulu a AppSec ndi DevSecOps kuchepetsa zoopsa m'mabizinesi amakono SDLC!
