OWASP Top 10 ke e 'ngoe ea litšupiso tsa ts'ireletso ea lits'ebetso tse sebelisoang haholo bakeng sa ho khetholla le ho fokotsa likotsi tsa bohlokoa ka ho fetisisa tsa ts'ireletso ea lits'ebetso tsa webo. Tataiso ena e hlalosa likotsi tse 10 tse holimo tsa OWASP, mehlala ea lefats'e la 'nete, mekhoa e metle ea tokiso, le kamoo AppSec ea sejoale-joale le software supply chain security ditharollo di thusa mekgatlo ho fokotsa kotsi ho pholletsa le SDLC.
Morero oa Tšireletso ea Kopo ea Inthanete e Butsoeng (OWASP)
Morero oa Tšireletso ea Kopo ea Inthanete e Butsoeng (OWASP) ke mokhatlo o etelletseng pele o sa etseng phaello o inehetseng ho ntlafatseng tshireletso ya software. OWASP e tsebahala ka ho pepeneneng ha yona le ho commitHo kenyeletsoa litharollo tse tsamaisoang ke sechaba, e leng se entseng hore e be mohloli o ka sebelisoang ke bahlahisi, litsebi tsa tšireletso le mekhatlo e batlang ho amohela mekhoa e metle ea tšireletso. Har'a menehelo ea eona e mengata, e 'ngoe ea tse bohlokoa ka ho fetisisa ke OWASP Top 10, lethathamo le nchafatsoang khafetsa la likotsi tsa bohlokoa ka ho fetisisa tsa ts'ireletso ea lits'ebetso tsa webo tse amang lits'ebetso tsa sejoale-joale. E totobatsa bofokoli bo boholo ka ho fetisisa lits'ebetsong tsa webo, bo ipapisitse le data ea lefats'e la nnete le temohisiso ea litsebi.
Sepheo sa OWASP ke ho etsa hore ts'ireletso e fumanehe habonolo le ho utloisiseha, ho fana ka lisebelisoa, meralo le tsebo ho thusa ho sireletsa lits'ebetso ho tloha qalong. OWASP Top 10 e sebetsa e le moralo o sebetsang ho thusa bahlahisi ho tsepamisa maikutlo bofokoling boo e leng ba bohlokoa ka ho fetisisa, ho netefatsa hore ba ka kenya tšebetsong litharollo tse hlokahalang ka katleho.
Tse 10 tse holimo tsa OWASP
OWASP Top 10 ke mohloli oa motheo oa ts'ireletso ea lits'ebetso bakeng sa mekhatlo e sireletsang lits'ebetso tsa sejoale-joale tsa webo. Bakeng sa mokhatlo ofe kapa ofe o sebetsang ho sireletsa lits'ebetso tsa webo. E hlalosa litšokelo tsa bohlokoa ka ho fetisisa tsa ts'ireletso, e fana ka temohisiso mabapi le litsela tse tloaelehileng tseo lits'ebetso li senyehang ka tsona. Liphoso tsa OWASP Top 10 li totobatsa likotsi tsena tse ka sehloohong, li fana ka likhothaletso tse ka sebelisoang ho li fokotsa. Ho sebetsana le liphoso tsena ka kotloloho ho bohlokoa bakeng sa ho matlafatsa ts'ireletso ea ts'ebeliso efe kapa efe.
OWASP Top 10 le Lipheko tsa Tsona ke Eng?
OWASP Top 10 ke tokomane ea temoso e tsebahalang lefatšeng ka bophara e phatlalalitsoeng ke Open Web Application Security Project (OWASP). E khetholla likotsi tse kholo ka ho fetisisa tsa ts'ireletso tse amang lits'ebetso tsa sejoale-joale tsa webo tse thehiloeng ho data ea tlhaselo ea lefats'e la 'nete, lipatlisiso tsa sechaba le tlhahlobo ea indasteri. Lethathamo lena le thusa bahlahisi, lihlopha tsa AppSec, baenjiniere ba DevSecOps, le baetapele ba ts'ireletso ho beha pele bofokoli bo bakang kotsi e kholo ho lits'ebetso, li-API le liketane tsa phepelo ea software.
OWASP Top 10 ea hajoale e kenyelletsa mekhahlelo ea ts'ireletso e kang Broken Access Control, Injection, Security Misconfiguration, Vibnerable and Outdated Components, Software and Data Integrity Failures, le Server-Side Request Forgery (SSRF). Ho utloisisa likotsi tsena le ho kenya tšebetsong maano a loketseng a tokiso ho bohlokoa bakeng sa ho aha lits'ebetso tse sireletsehileng, ho fokotsa ho pepesehela ts'ireletso ea software, le ho sireletsa mekhatlo khahlanong le litšokelo tsa sejoale-joale tsa inthanete.
Lihlopha tse 10 tse holimo tsa OWASP
Likotsi tse 10 tse holimo tsa OWASP ka ho hlaka
| Sehlopha sa OWASP | Kotsi ea mantlha | Tšusumetso e Tloaelehileng |
|---|---|---|
| Taolo ea phihlello e robehileng | Ho fihlella ntle le tumello | Tlhahisoleseding ya data |
| Ho Hlōleha ha Cryptographic | Ho se ngolise ho fokolang | Bosholu ba data bo bobebe |
| Kotsi | Ts'ebetso e mpe ea ho kenya | Tumellano ea database |
| Moralo o sa Sireletsehang | Mefokolo ea meralo | Bofokoli ba sistimi ka bophara |
| Ts'ireletso e sa nepahalang | Ho seta ho sa nepahalang | Ho fihlella ntle le tumello |
| Likarolo tse Kotsing | Litšekamelo tse siiloeng ke nako | Tekano ea ketane ea phepelo |
| Ho hloleha ho netefatsa | Litaolo tse fokolang tsa boitsebiso | Ho nkeloa ha akhaonto |
| Ho Hlōleha ha Botšepehi ba Software | Ho senya moaho/ho itshetleha | Ho kenya malware |
| Ho Hloleha ha ho Ngoloa ha Libuka le ho Lekola | Ho siuoa ho lieha | Nako e telele ea ho lula ha mohlaseli |
| SSRF | Tlhekefetso ea kopo ea kahare | Tshebeletso ya kahare e senyehile |
1. Taolo ea Phihlello e Senyehileng (A01:2021)
Taolo ea Phihlello e Senyehileng ke Eng?
Taolo ea Phihlello e Robehileng e etsahala ha basebelisi ba fumana phihlello e sa lumelloang ho data kapa liketso. Mohlala, mohlaseli a ka fetola URL ho fumana phihlello ea motsamaisi. OWASP e fumane bothata bona ho 94% ea lits'ebetso tse lekiloeng, e leng se etsang hore e be e 'ngoe ea bofokoli ba ts'ireletso bo atileng haholo ba OWASP Top 10.
Lipheko tsa Taolo ea Phihlello e Senyehileng
Ho fokotsa kotsi ena, ho tiisa phihlello e tlase ea litokelo, ho kenya tšebetsong netefatso ea lintlha tse ngata (MFA) bakeng sa ts'ebetso e hlokolosi, le ho hlahloba litumello tsa basebelisi khafetsa.
Tšireletso ea Liphiri tsa Xygeni E thusa ho sireletsa tlhahisoleseding e hlokolosi jwalo ka dinotlolo tsa API le di-tokens, e fokotsa kotsi ya ditlolo tsa taolo ya phihlello. Tlhokomelo e tswelang pele e netefatsa botshepehi ba sistimi ya hao.
Mohlala oa Lefatše la Rael
In 2019, Sehlopha sa First American Financial Corp pepesitsoe holim'a Lirekoto tse bonolo tse limilione tse 850 ka lebaka la taolo e sa lokelang ea phihlello. Bahlaseli ba ka fetola URL feela ho fihlella litokomane tsa lekunutu. Ka ho hlokomoloha ho sireletsa libaka tsa phihlello hantle, k'hamphani e siile lintlha tsa bohlokoa li le kotsing. Ketsahalo ena e totobatsa tlhoko ea ho netefatsa mesebetsi ea basebelisi le ho netefatsa hore ke batho ba lumelletsoeng feela ba ka fumanang tlhaiso-leseling ea bohlokoa.
Ke hobane'ng ha e le ea bohlokoa kajeno? Lisebelisoa tsa sejoale-joale li pepesa li-API, lits'ebeletso tsa leru, le mesebetsi ea basebelisi ba ajoang, e leng se etsang hore phihlello e sa lumelloang e be e 'ngoe ea likotsi tse atileng haholo le tse senyang tsa ts'ireletso tse amang lintlha tsa bohlokoa tsa khoebo.
2. Ho hloleha ha Cryptographic (A02:2021)
Ho Hlōleha ha Cryptographic ke Eng?
Ho hloleha ha cryptographic ho etsahala ha ditsamaiso di hloleha ho patela tlhahisoleseding e hlokolosi ka nepo, e leng se dumellang bahlaseli ho e thibela le ho e sebedisa hampe. Ho patela tlhahisoleseding e matla ho bohlokwa bakeng sa ho sireletsa tlhahisoleseding e hlokolosi.
Lipheko tsa ho Hlōleha ha Cryptographic
Ngola data e bolokiloeng ka AES-256 'me u sebelise TLS 1.2 kapa ho feta bakeng sa data e ntseng e fetisoa. Phetola linotlolo tsa ho ngolla khafetsa 'me u li sireletse ka litsamaiso tse nepahetseng tsa phihlello.
Meralo ea motheo ea Xygeni e le Khoutu (IaCTšireletso e hlahloba di-setting tsa encryption nakong ya ho sebediswa ho thibela bofokodi maanong a encryption.
Mohlala oa 'Nete oa Lefatše
Ka 2017, Ehlile, feme ea ho bokella lintlha, e pepesitse lirekoto tsa motho ka mong tse limilione tse 340 ka lebaka la ho patoa ho sa lokelang. Bahlaseli ba fihletse tlhahisoleseling ea botho joalo ka mabitso, liaterese le linomoro tsa mohala hobane data e ne e bolokiloe ka mongolo o hlakileng. Tlolo ena e bontša likotsi tsa ho hloleha ho patoa ho patoa lintlha tse hlokolosi. Ka ho sebelisa patoa ho nepahetseng standardtse kang AES-256 bakeng sa data e phomolong le TLS bakeng sa data e fetisetswang, mekhatlo e ka sireletsa data ea bona phihlellong e sa lumelloang.
Ke hobane'ng ha e le ea bohlokoa kajeno? Mekhatlo e ntse e boloka le ho fetisetsa data e hlokolosi ea bareki, ea lichelete le ea netefatso ho pholletsa le libaka tsa maru, e leng se etsang hore ho ngoloa ha data ka mokhoa o tiileng ho be bohlokoa bakeng sa ho sireletsa lekunutu le ho latela melao.
3. Ente (A03:2021)
Litlhaselo tsa Ente ke Eng?
Bofokodi ba ho kenya di-infusion, jwalo ka SQL Injection, bo dumella bahlasedi ho kenya khoutu e kotsi tsamaisong ya hao, e ba nolofalletsang ho laola kapa ho utsoa data. Ditlhaselo tsa ho kenya di-infusion di ntse di le e nngwe ya dikotsi tse atileng haholo le tse nang le tshusumetso e kgolo ya tshireletso ya di-app tse amang di-app tsa sejwalejwale tsa webo.
Mekhoa ea ho phekola Litlhaselo tsa Ente
Sebelisa lipotso tse nang le li-parameter 'me u netefatse li-input tsa basebelisi. Qoba lipotso tse feto-fetohang neng kapa neng ha ho khoneha ho fokotsa likotsi.
Ho Fumana Anomaly ea Xygeni Batsamaisi CI/CD pipelinebakeng sa boitšoaro bo sa tloaelehang, ho tšoasa liteko tse ka bang teng tsa ho enta ka nako ea sebele.
Mohlala oa 'Nete oa Lefatše
In 2017, Equifax utloa bohloko a tlolo e kholo ea data e ileng ea pepesa tlhahisoleseling ea botho ea Bareki ba limilione tse 147. Tlōlo e bakiloeng ke Bofokoli ba ho kenngoa ha SQL, ho dumella bahlaseli ho laola webosaete ya khamphani le ho fihlella tlhahisoleseding e hlokolosi e bolokilweng polokelongtshedimosetsong. Mekgatlo e tlameha ho netefatsa hore ditsamaiso tsa bona di hlwekisa diketso tsa basebedisi hantle. Ho lokisa le ho sireletsa dipotso tsa SQL kamehla ho ka be ho thibetse bofokodi bona.
Ke hobane'ng ha e le ea bohlokoa kajeno? Bofokodi ba ho kenngoa ha data bo ntse bo tsoela pele ho ama lits'ebetso tsa webo, li-API, le mekhoa ea nts'etsopele e thusitsoeng ke AI moo tlhahiso e sa netefatsoang e fihlang ho bafetoleli, li-database, kapa litsamaiso tsa morao-rao.
4. Moralo o sa Sireletsehang (A04:2021)
Moralo o sa Sireletsehang ke eng?
Moralo o sa Sireletsehang o etsahala ha bahlahisi ba hloleha ho kopanya tshireletso mokgahlelong wa pele wa moralo, e leng se bakang bofokodi boo ho leng thata ho bo lokisa hamorao. Bofokodi bona bo thata ho bo lokisa hang ha dikopo di fihla dibakeng tsa tlhahiso.
Mekhoa ea ho phekola Moralo o sa Sireletsehang
Kenya melao-motheo e sireletsehileng ea moralo le mohlala oa litšokelo qalong ea potoloho ea bophelo ba nts'etsopele. Kamehla hlahloba moralo oa hau bakeng sa mefokolo e ka bang teng 'me u e lokise pele e e-ba mathata a bohlokoa.
Xygeni's Application Security Posture Management (ASPM) e hlwaya mefokolo e ka bang teng ya moralo pele bahlaseli ba ka e sebedisa hampe, e netefatsa hore bahlahisi ba kenya tshireletso sehlahisweng sa bona ho tloha qalong.
Mohlala oa 'Nete oa Lefatše
Mohlala oa morao-rao oa lefats'e la 'nete oa Moralo o sa Sireletsehang ke Bofokoli ba Microsoft Exchange ProxyShell ka 2021Bahlaseli ba sebelisitse mefokolo ea moralo mekhoeng ea netefatso le taolo ea phihlello ea Microsoft Exchange, ba ba lumella ho kenya khoutu hole ho li-server tse kotsing. Mefokolo ena e ne e se liphoso tsa ts'ebetsong, empa e ne e le mefokolo ea motheo ea moralo e entseng hore ts'ebeliso e khonehe esita le ka mor'a hore li-patches li sebelisitsoe hampe. Tlolo ena e totobatsa bohlokoa ba ho kopanya ts'ireletso mohatong oa moralo ho thibela mefokolo hore e se ke ea hahuoa tsamaisong.
Ke hobane'ng ha e le ea bohlokoa kajeno? Mefokolo ea ts'ireletso e hlahisitsoeng nakong ea mohato oa moralo e thata ebile e bitsa chelete e ngata ho e lokisa hamorao, haholo-holo libakeng tsa nts'etsopele tse thehiloeng marung le tse fetohang ka potlako.
5. Phetoho e fosahetseng ea Tšireletso (A05:2021)
Phetolo e Fosahetseng ea Tšireletso ke Eng?
Litlhophiso tse fosahetseng tsa Tšireletso li etsahala ha bahlaseli ba sebelisa mekhoa e sa hlophisoang hantle, joalo ka e sebelisang litlhophiso tsa kamehla kapa ba siea likou tse sa hlokahaleng li butsoe. Litlhophiso tse fosahetseng li ntse li le e 'ngoe ea lisosa tse ka sehloohong tsa liketsahalo tsa ts'ireletso ea leru le ts'ebeliso.
Mekhoa ea ho phekola Ts'ireletso e sa nepahalang
Iketsetse li-check-up tsa tlhophiso u sebelisa Infrastructure as Code (IaC) le ho etsa tlhahlobo ea ts'ireletso khafetsa. Boloka litsamaiso tsohle li ntlafalitsoe ka li-patches tsa morao-rao.
Xygeni's IaC Security e hlahloba diphetolelo tse fosahetseng pele e sebediswa mme e tiisa maano a tshireletso ka ho tswela pele ho pholletsa le ditikoloho tsohle.
Mohlala oa 'Nete oa Lefatše
Ka 2018, NASA ba bile le karohano hobane litlhophiso tse sa hlophisoang hantle in Atlassian JIRA e pepesitse tlhahisoleseding e hlokolosi ea projeke le ea basebetsi. Bahlaseli ba fumane tlhahisoleseling ka lebaka la tlhophiso e bulehileng. Liteko tsa ts'ireletso tse iketsahalletseng le ho kenngoa tšebetsong ha maano a tlhophiso a nepahetseng li ka be li thibetse tlōlo ena. Litlhahlobo tsa kamehla li ka be li hlokometse bofokoli pele bahlaseli ba bo sebelisa hampe.
Ke hobane'ng ha e le ea bohlokoa kajeno? Litšebeletso tsa leru tse sa hlophisoang hantle, CI/CD pipelines, dikontenara, le di-interface tsa tsamaiso tse pepesitsweng e ntse e le e 'ngoe ea lisosa tse ka sehloohong tsa tlōlo ea molao ea sejoale-joale.
6. Likarolo tse Kotsing le tse Siiloeng ke Nako (A06:2021)
Likarolo tse kotsing le tse siiloeng ke nako ke life?
Likarolo tse kotsing le tse siiloeng ke nako li hlaha ha u sebelisa lilaeborari kapa meralo ea mokha oa boraro e nang le liphoso tse tsebahalang tsa ts'ireletso. Bahlaseli ba ka sebelisa bofokoli bona ho beha ts'ebeliso ea hau kotsing. Ena ke tšokelo e kotsi haholo, kaha ho fihlela ho 60% ea lits'ebetso tsa sejoale-joale li hahiloe ka likarolo tsa mokha oa boraro.
Mekhoa ea ho phekola Likarolo tse kotsing le tse siiloeng ke nako
Ntlafatsa lilaebrari tsa batho ba bang khafetsa le litšebelisano tsa bona, 'me u sebelise Tlhahlobo ea Sebopeho sa Software (SCA) lisebelisoa tsa ho lemoha le ho lokisa bofokoli.
Xygeni's Open Source Security e hlahloba lintho tseo u itšetlehileng ka tsona ho thibela ho sebelisa likarolo tse siiloeng ke nako kapa tse kotsi, e leng se u thusang ho boloka sesebelisoa se sireletsehile.
Mohlala oa 'Nete oa Lefatše
In 2017, Apache Struts e bile le bofokodi bo sa lokisoang bo ileng ba lebisa ho Tlolo ea molao ea Equifax, e amang basebelisi ba limilione. Bofokoli bo ne bo le ho Li-Struts tsa Apache 2, moralo o sebediswang haholo, mme Equifax e hlolehile ho sebedisa patch ka nako. Sena se ile sa etsa hore ditsamaiso tsa bona di pepesehele tshebediso e mpe. Dintjhafatso tse nakong le ho hlahlojwa ha kamehla ha bofokodi di ka be di thibetse ho tlola hona.
Ke hobane'ng ha e le ea bohlokoa kajeno? Ditshebediso tsa sejwalejwale di itshetlehile haholo ka diphutheloana tsa mohlodi o bulehileng le dilaeborari tsa mokga wa boraro, e leng se etsang hore ditlhaselo tsa ketane ya phepelo ya software le ho itshetleha kotsing e be bothata bo ntseng bo hola ba AppSec.
7. Ho Hloleha ha Netefatso (A07:2021)
Ho Hloleha ha Boitsebiso le Netefatso ke Eng?
Bofokodi bona bo hlaha ha mekgwa ya netefatso e fokola kapa e sa kenngwa tshebetsong hantle, e leng se dumellang bahlasedi ho feta ditaolo tsa tshireletso.
Mekhoa ea ho phekola Ho Hloleha ha Boitsebiso le Netefatso
Kenya tshebetsong maano a matla a phasewete, kenya tshebetsong netefatso ya dintlha tse ngata (MFA), le di-log tsa netefatso ya tlhahlobo ho thibela phihlello e sa dumellwang.
Tšireletso ea Liphiri tsa Xygeni e thusa ho sireletsa mangolo a hau a tumello, e fokotsa kotsi ea ho lutla ha data nakong ea ts'ebetso ea netefatso.
Mohlala oa 'Nete oa Lefatše
In 2020, e Khamera ea ts'ireletso e letsang tlōlo ea molao e bakiloe ke li-password tse fokolang. Bahlaseli ba sebelisitse li-password tse bonolo 'me ba fumana phihlello ea livideo tse phelang ho tsoa ho lik'hamera tsa basebelisi ba liketeTlolo ena e totobatsa tlhoko ea bohlokoa ea mekhoa e matla ea netefatso. Ka hona, ho kenya tšebetsong multi-factor authentication (MFA) le ho phethahatsa maano a matla a phasewete e ka be e thibetse habonolo phihlello e sa lumelloang.
Ke hobane'ng ha e le ea bohlokoa kajeno? Mekhoa e fokolang ea netefatso e ntse e tsoela pele ho nolofalletsa ho nkuoa ha liakhaonto, litlhaselo tsa ho tlatsa mangolo a tumello, le phihlello e sa lumelloang ho pholletsa le SaaS, cloud, le enterprise dikopo.
8. Ho Hlōleha ha Botšepehi ba Software le Data (A08:2021)
Ho Hlōleha ha Software le Botšepehi ba Data ke Eng?
Bofokodi bona bo hlaha ha khoutu kapa meralo ya motheo e sa sireletse kgahlanong le ho kenngwa tshebetsong. Bahlaseli ba ka beha ka hara kotsing moaho pipelines, ho itšetleha, kapa lits'ebetso tsa ho kenya khoutu e mpe lintlafatsong tse tšepahalang. Mofuta ona oa phoso o fetohile tšoenyeho e kholo ka lebaka la keketseho ea litlhaselo tsa ketane ea phepelo, moo esita le likarolo tse tšepahalang tsa mokha oa boraro li reretsoeng ho kenella marang-rang.
Mekhoa ea ho phekola Ho Hlōleha ha Botšepehi ba Software le Data
Ho fokotsa sena, kenya tshebetsong ho saena khoutu, sebedisa mekgwa e sireletsehileng ya kaho, mme o netefatse botshepehi ba dikarolo tsohle tsa mokga wa boraro.
Xygeni's CI/CD Security etsa bonnete ba hore hao pipelineLi sireletsehile ebile li behiloe leihlo bakeng sa lintho tse sa tloaelehang. Xygeni's Anomaly Detection e ka khetholla mesebetsi e belaetsang e ka 'nang ea bontša ho senyeha ha lintho.
Mohlala oa 'Nete oa Lefatše
In 2024, tlhaselo e kholo ea ketane ea phepelo e reretsoeng Lisebelisoa tsa XZ, laeborari ea khatello e sebelisoang haholo lits'ebetsong tsa Linux. XZ Utils ke sesebelisoa sa bohlokoa se sebelisoang bakeng sa ho hatella lifaele, se tšeptjoang ke mekhatlo e likete. Leha ho le joalo, bahlaseli ba atlehile ho senya ts'ebetso ea kaho ea projeke ka ho kenya monyako o ka morao khoutung.
Bahlaseli ba ile ba hlokomolohuoa ka nakoana, e leng se neng se bolela hore litsamaiso tse itšetlehileng ka laeborari e senyehileng li kotsing ea ho kengoa tšebetsong ha khoutu hole le ho sebelisoa hampe ho eketsehileng. Ka lebaka leo, bahlaseli bana ba ile ba laola litsamaiso tse amehileng, e leng se ileng sa lebisa ho tlōloeng ha data le ho senyeheng ha tlhahisoleseling ea bohlokoa.
Ketsahalo ena e sebetsa e le khopotso e hlakileng ea likotsi tse bakoang ke litlhaselo tsa phepelo ea thepa. Esita le laeborari e tšepahalang haholo e ka fetoloa ho beha litsamaiso tse ngata kotsing. Ka ho netefatsa lits'ebetso tse sireletsehileng tsa kaho, ho sebelisa mekhoa ea ho saena khoutu, le ho beha leihlo likarolo tsa mokha oa boraro khafetsa, mekhatlo e ka thibela bofokoli bo joalo ho kenella litsamaisong tsa bona.
Ke hobane'ng ha e le ea bohlokoa kajeno? Litlhaselo tsa ketane ea phepelo ea software tse shebaneng le kaho pipelines, li-registry tsa liphutheloana, litšekamelo, le CI/CD litsamaiso li fetohile kotsi e kholo bakeng sa nts'etsopele ea software ea sejoale-joale.
9. Ho Hloleha ha ho Ngoloa ha Litokomane tsa Tšireletso le ho Beha Leihlo (A09:2021)
Ho Hloleha ha ho Ngola le ho Beha Leihlo ka Tšireletso ke Eng?
Ho hloleha hona ho etsahala ha dikopo di sa ngole diketsahalo tsa tshireletso hantle kapa di hloka mekgwa ya ho beha leihlo. Ntle le dingolwa tse qaqileng, ho lemoha le ho arabela ditlhaselong ho ba thata. Bofokodi bona hangata bo diehisa ho lemoha ditlolo, e leng se dumellang bahlasedi ho sebedisa ditsamaiso ka nako e telele.
Mekhoa ea ho phekola Ho Hloleha ha ho Ngoloa ha Litokomane tsa Tšireletso le ho Beha Leihlo
Bulela ho ngola ka botlalo bakeng sa liketso tsohle tsa bohlokoa, boloka li-log ka mokhoa o sireletsehileng, 'me u netefatse hore li behiloe leihlo bakeng sa mesebetsi e belaetsang. Ho feta moo, sebelisa lisebelisoa tse iketsang ho u lemosa ka litšokelo tse ka bang teng.
Ho Fumana Anomaly ea Xygeni e thusa ho hlwaya mesebetsi e sa tloaelehang ka nako ya sebele. Ho feta moo, CI/CD Tšireletso e netefatsa hore ho rekota le ho beha leihlo litlhophiso li sebelisoa ka mokhoa o ts'oanang libakeng tsohle.
Mohlala oa 'Nete oa Lefatše
In 2023, Uber ho bile le tlōlo ea data e e sentse tlhahisoleseling ea botho ea bakhanni ba liketeTlolo ena e etsahetse ha feme ea molao ea mokha oa boraro, Genova Burns, e bile le ketsahalo ea tšireletso, e pepesang tlhahisoleseling. Ho sa tsotellehe taba ea hore litemoso li ile tsa qholotsoa, litsamaiso tsa ho beha leihlo tsa Uber li hlōlehile ho lemoha le ho arabela tlhaselong eo kapele.
Bahlaseli ba ile ba fumana phihlello ea tlhahisoleseling ea bohlokoa, ho kenyeletsoa mabitso, linomoro tsa mohala le lirekoto tsa ho khanna. Tieho ena e ne e bakoa haholo-holo ke khaello ea litlaleho tse felletseng le litsamaiso tse sa lekaneng tsa tlhokomelo.
Hoja Uber e ne e shebile phihlello ea litsamaiso tsa eona hantle 'me e kentse tšebetsong mekhoa e metle ea ho rema lifate, e ka be e ile ea lemoha ho robeha hona kapele haholo. Ka lebaka leo, k'hamphani e ka be e fokolitse tšenyo ea botumo le tahlehelo ea lichelete. Ho robeha hona ho totobatsa bohlokoa ba bohlokoa ba ho boloka litsamaiso tse sebetsang tsa ho rema lifate le ho beha leihlo ho lemoha le ho fokotsa litšokelo esale pele.
Ke hobane'ng ha e le ea bohlokoa kajeno? Ntle le ponahalo le tlhokomelo e nepahetseng, mekhatlo e thatafalloa ho lemoha litlhaselo esale pele, e leng se lumellang bahlaseli ho lula ba sa fumanoe ka nako e telele.
10. Kopo ea Bosholu ea Lehlakore la Seva (SSRF) (A10:2021)
Kopo ea Bosholu ea Lehlakore la Seva ke Eng?
SSRF e etsahala ha bahlaseli ba qhekella seva hore ba etse likopo libakeng tse sa reroang, hangata ba fihlella lits'ebeletso tsa kahare tse lokelang ho thibeloa. Bofokoli bona bo lumella bahlaseli ho fihlella data ea bohlokoa kapa ho phethahatsa litaelo litsamaisong tsa kahare.
Lipheko tsa SSRF
Ho thibela SSRF, netefatsa dikenyo tsohle tsa basebedisi mme o thibele bokgoni ba seva ba ho etsa dikopo tse tswang. Ho feta moo, sebedisa manane a tumello ho laola hore na ke di-URL dife tseo seva e ka di fihlellang.
Xygeni's CI/CD Tshireletso e thusa ho beha leihlo pipelines bakeng sa bofokodi bo ka bang teng ba SSRF. Ho feta moo, Xygeni's Anomaly Detection e ka tshwara dipaterone tsa dikopo tse sa lebellwang kapa tse belaetsang.
Mohlala oa 'Nete oa Lefatše
In 2022, bofokodi bo boholo ho Microsoft Exchange (CVE-2022-41040) e ile ea sebelisoa hampe ke bahlaseli ba sebelisang mekhoa ea SSRF. Bahlaseli ba ile ba khona ho romela likopo tse kotsi ho seva ea Exchange, ba feta tšireletso ea ka hare ea ts'ireletso.
Hang ha ba kene ka hare, bahlaseli ba ile ba kena litsamaisong tsa kahare mme ba senya data ea bohlokoa. Ka ho sebelisa SSRF hampe, ba fumane phihlello e sa lumelloang mehloling e thibetsoeng ea ka hare, e leng se ileng sa lebisa ho tlōlong e kholo ea tšireletso.
Bofokodi ba SSRF bo kotsi haholo hobane bo fa bahlaseli phihlello ea litsamaiso tsa kahare tse sa lokelang ho pepesetsoa sechaba. Hoja Microsoft e kentse tšebetsong netefatso e thata ea ho kenya le lithibelo tsa kopo tse tsoang, ba ka be ba thibetse boiteko ba bahlaseli ba ho sebelisa bofokodi bona hampe. Tlolo ena e bontša bohlokoa ba ho laola likopo tsa seva ho mehloli ea kahare e bonolo le ho netefatsa hore ke mehloli e tšepahalang le e netefalitsoeng feela e ka sebelisanang le eona.
Ke hobane'ng ha e le ea bohlokoa kajeno? Meralo ea meralo ea maru le li-API tsa kahare li ekelitse tšusumetso ea bofokoli ba SSRF, boo bahlaseli ba bo sebelisang ho fihlella lits'ebeletso tsa kahare tse hlokolosi le litsamaiso tsa metadata.
Hobaneng ha OWASP Top 10 e ntse e le ea bohlokoa
The Bofokoli ba OWASP ba Top 10 li bohlokoa bakeng sa mekhatlo e ikemiselitseng ho sireletsa lits'ebetso tsa eona litšokelong tse tloaelehileng le tse kotsi haholo. Likotsi tsena ha se tsa khopolo-taba; li emela likotsi tsa lefats'e la sebele tse ka lebisang ho tlōloeng ha data, tahlehelo ea lichelete le tšenyo ea botumo. Ka ho sebetsana le bofokoli bona ka mafolofolo, mekhatlo e ka fokotsa kotsi ea litlhaselo tse atlehileng haholo le ho netefatsa hore litsamaiso tsa bona lia mamella litšokelo tse ntseng li fetoha.
Ho feta moo, ho kenya tshebetsong ditharollo tse kgothalletswang lenaneng la diphoso tsa OWASP Top 10 ho thusa mekgatlo ho nka mokgwa wa leano wa tshireletso. Mohlala, ho matlafatsa taolo ya phihlello, ho sireletsa mekgwa ya ho patela, le ho fokotsa dikotsi tsa ketane ya phepelo kaofela di phetha karolo ya bohlokwa ho sebetsaneng le diphoso tsena. Ka lebaka leo, mekgatlo e fokotsa bokahodimo ba tlhaselo, e leng se etsang hore ho be thata le ho feta hore bahlasedi ba sebedise mefokolo tsamaisong.
Ha litšokelo tsa inthanete li ntse li fetoha, ho bohlokoa hore mekhatlo e lule e le ka pele ho bofokoli bo ka bang teng. Ka ho nka khato esale pele, mekhatlo e netefatsa tšireletso ea nako e telele bakeng sa lits'ebetso tsa eona le ho boloka tšepo ea basebelisi ba eona.
Ka nqane ho bofokodi ba setso ba OWASP Top 10, mekhatlo e ntse e tobana le liphutheloana tse bulehileng tse kotsi, litlhaselo tsa pherekano ea boitšepo, matšolo a ho ngola ka mongolo, khoutu e sa sireletsehang e hlahisoang ke AI, CI/CD pipeline ho sekisetsa, ho pepesehela liphiri, le malware ea ketane ea phepelo ea software.
Mananeo a sejoale-joale a AppSec a kopanya tataiso ea OWASP le software supply chain security, tshireletso ya AI, le tlhahlobo ya kotsi ya nako ya tshebetso ho rarolla dibaka tse ntseng di fetoha tsa tlhaselo.
Kamoo Xygeni e Tšehetsang Maano a OWASP le OWASP SAMM
Ho bua le Bofokoli ba OWASP ba Top 10 ho bohlokoa haholo ho sireletseng lits'ebetso tsa webo. Leha ho le joalo, ho sireletsa kopo ea hau ha ho felle moo. Mohlala oa Kholo ea Tiisetso ea Software ea OWASP (SAMM) e fana ka moralo oa ho lekola le ho ntlafatsa khōlo ea ts'ireletso ea hau ho pholletsa le potoloho ea bophelo ba nts'etsopele ea software (SDLC). Ka ho kopanya Lisebelisoa tse felletseng tsa ts'ireletso tsa Xygeni, mekhatlo e ke ke ea fokotsa feela Likotsi tse 10 tse ka sehloohong tsa ts'ireletso tsa OWASP empa hape e ntlafatsa khōlo ea bona ea ts'ireletso ka kakaretso, joalo ka ha ho hlalositsoe ke OWASP SAMM.
Ho Matlafatsa Tšireletso ea Kopo ka Xygeni
Xygeni e matlafatsa mekhatlo ho sebetsana le lethathamo la bofokoli ba OWASP Top 10 ha e ntse e potlakisa ho amohelwa ha OWASP SAMM, e thusa mekhatlo ho ntlafala ka ho tswela pele ho hola ha tshireletso ya software. Ka ho iketsetsa ditaolo tsa tshireletso, ho nolofalletsa ho beha dintho pele ho itshetlehileng hodima dikotsi, le ho matlafatsa taolo ya diketsahalo, Xygeni e thusa mekhatlo ho aha software e sireletsehileng le e matla, e fokotsang kotsi ya ditlolo tsa tshireletso ka katleho.
Ka ho beha leihlo ka nako ea sebele, ho lemoha bofokoli ka boiketsetso, le ho kenya tšebetsong leano ho pholletsa le SDLC, Xygeni e nolofatsa boiteko ba tshireletso le ho latela melao, e tsamaisana le mekgwa e metle ya OWASP SAMM. Sena se nolofalletsa mekgatlo ho hodisa khōlo ya yona ya tshireletso butle-butle, ka mmapa o hlakileng wa tsela ya ntlafatso e tswelang pele.
Nka Khato Hona Joale ho Sireletsa Likopo tsa Hao
The Bofokoli ba OWASP ba Top 10 totobatsa likotsi tse matla ka ho fetisisa tsa ts'ireletso tse tobaneng le lits'ebetso tsa sejoale-joale. Ka ho latela Litataiso tsa OWASP le ho kenya tshebetsong mekgwa e metle e hlalositsweng mona, o ka sireletsa mokhatlo oa hau khahlanong le litšokelo tsena le ho haha li-application tse mamellang litlhaselo tse rarahaneng.
Matlafatsa Tšireletso ea Kopo ea Hao le Software Supply Chain Security.
Lisebelisoa tsa sejoale-joale li hloka ho feta ho hlahloba bofokoli ba setso. Xygeni e thusa mekhatlo ho tseba, ho beha lintho pele, le ho lokisa likotsi tse 10 tse holimo tsa OWASP ho pholletsa le khoutu ea mohloli, ho itšetleha ka mohloli o bulehileng, CI/CD pipelines, meralo ea motheo ea leru, le mekhoa ea nts'etsopele e thusitsoeng ke AI.
Sibolla kamoo Xygeni e thusang lihlopha tsa AppSec le DevSecOps ho fokotsa kotsi ho pholletsa le mekhoa ea sejoale-joale. SDLC!
