OWASP Top 10 jẹ́ ọ̀kan lára àwọn ìtọ́kasí ààbò ohun èlò tí a ń lò jùlọ fún dídámọ̀ àti dín àwọn ewu ààbò ohun èlò wẹ́ẹ̀bù tí ó ṣe pàtàkì jùlọ kù. Ìtọ́sọ́nà yìí ṣàlàyé àwọn ewu 10 Top OWASP, àwọn àpẹẹrẹ ayé gidi, àwọn ìṣe àtúnṣe tí ó dára jùlọ, àti bí AppSec òde òní àti software supply chain security awọn solusan ṣe iranlọwọ fun awọn ajọ lati dinku eewu kọja gbogbo SDLC.
Iṣẹ́ Ààbò Ohun Èlò Ìfọ̀rọ̀wérọ̀ Ayélujára (OWASP)
Iṣẹ́ Ààbò Ohun Èlò Ìkànnì Ayélujára Ṣíṣí (OWASP) jẹ́ àjọ tí kìí ṣe èrè tí ó gbajúmọ̀ tí a yà sọ́tọ̀ láti mú ààbò sọ́fítíwọ́ọ̀kì sunwọ̀n síi. A mọ̀ OWASP fún ìfihàn àti ìṣípayá rẹ̀. commitÌdáhùn sí àwọn ojútùú tí àwùjọ ń darí, èyí tí ó ti sọ ọ́ di ohun èlò tí ó dára jùlọ fún àwọn olùgbékalẹ̀, àwọn onímọ̀ nípa ààbò, àti àwọn àjọ tí wọ́n ń wá ọ̀nà láti gba àwọn ìlànà ààbò tí ó dára jùlọ. Láàrín ọ̀pọ̀lọpọ̀ àwọn àfikún rẹ̀, ọ̀kan lára àwọn tí ó ṣe pàtàkì jùlọ ni OWASP Top 10, àkójọ àwọn ewu ààbò ohun èlò wẹ́ẹ̀bù tí ó ṣe pàtàkì jùlọ tí ó ní ipa lórí àwọn ohun èlò òde òní. Ó ṣe àfihàn àwọn àìlera tí ó le jùlọ nínú àwọn ohun èlò wẹ́ẹ̀bù, tí a gbé kalẹ̀ lórí dátà gidi àti ìmọ̀ àwọn ògbóǹkangí.
Iṣẹ́ OWASP ni láti jẹ́ kí ààbò rọrùn láti dé àti láti lóye, kí ó sì pèsè àwọn irinṣẹ́, ètò, àti ìmọ̀ láti ran àwọn ohun èlò lọ́wọ́ láti dáàbò bo láti ìbẹ̀rẹ̀. Àwọn OWASP Top 10 ń ṣiṣẹ́ gẹ́gẹ́ bí ètò tó wúlò láti ran àwọn olùgbékalẹ̀ lọ́wọ́ láti dojúkọ àwọn àìlera tó ṣe pàtàkì jùlọ, kí wọ́n sì rí i dájú pé wọ́n lè ṣe àwọn ojútùú tó yẹ ní ọ̀nà tó dára.
Àwọn 10 tó ga jùlọ nínú OWASP
OWASP Top 10 jẹ́ orísun ààbò ohun èlò ìpìlẹ̀ fún àwọn àjọ tó ń dáàbò bo àwọn ohun èlò wẹ́ẹ̀bù òde òní. Fún gbogbo àjọ tó ń ṣiṣẹ́ láti dáàbò bo àwọn ohun èlò wẹ́ẹ̀bù. Ó ṣàlàyé àwọn ewu ààbò tó ṣe pàtàkì jùlọ, ó sì fúnni ní òye nípa àwọn ọ̀nà tí a gbà ń fi àwọn ohun èlò pamọ́. Àwọn àìlera OWASP Top 10 ń ṣe àfihàn àwọn ewu pàtàkì wọ̀nyí, wọ́n sì ń fúnni ní àwọn àbá tó ṣeé gbéṣe láti dín wọn kù. Dídarí àwọn àìlera wọ̀nyí ní tààràtà ṣe pàtàkì fún fífún ààbò ohun èlò èyíkéyìí lágbára sí i.
Kí ni àwọn OWASP 10 tó ga jùlọ àti àwọn oògùn tó ń ṣe wọ́n?
OWASP Top 10 jẹ́ ìwé ìmòye tí a mọ̀ kárí ayé tí Open Web Application Security Project (OWASP) tẹ̀ jáde. Ó ṣàfihàn àwọn ewu ààbò tó ṣe pàtàkì jùlọ tó lè nípa lórí àwọn ohun èlò wẹ́ẹ̀bù òde òní tí a gbé kalẹ̀ lórí ìwádìí ìkọlù gidi, ìwádìí àwùjọ, àti ìwádìí ilé iṣẹ́. Àkójọ náà ń ran àwọn olùgbékalẹ̀, àwọn ẹgbẹ́ AppSec, àwọn onímọ̀ ẹ̀rọ DevSecOps, àti àwọn olórí ààbò lọ́wọ́ láti ṣe àkóso àwọn àìlera tó ń fa ewu tó ga jùlọ sí àwọn ohun èlò, API, àti àwọn ẹ̀wọ̀n ìpèsè sọ́fítíwètì.
Àwọn OWASP Top 10 tó wà lọ́wọ́lọ́wọ́ yìí ní àwọn ẹ̀ka ààbò bíi Broken Access Control, Abẹ́rẹ́, Àìṣètò Ààbò, Àwọn Ohun Èlò Tó Lè Ṣeéṣe àti Tó Ti Déédé, Àwọn Ìkùnà Ìdúróṣinṣin Sọfítíwè àti Dátà, àti Ẹ̀tọ́ Ẹ̀gbẹ́ Alágbékalẹ̀ (SSRF). Lílóye àwọn ewu wọ̀nyí àti lílo àwọn ọgbọ́n àtúnṣe tó yẹ ṣe pàtàkì fún kíkọ́ àwọn ohun èlò tó ní ààbò, dín ìfarahàn ààbò sọfítíwè kù, àti dídáàbò bo àwọn àjọ kúrò lọ́wọ́ àwọn ewu oníbárà ìgbàlódé.
Àwọn Ẹ̀ka 10 Tó Gbéṣẹ́ Jùlọ Nínú OWASP
Àwọn Ìṣòro 10 Tó Ga Jùlọ Nínú OWASP Ní Ìwòkan
| Ẹ̀ka OWASP | Ewu akọkọ | Ipa Aṣoju |
|---|---|---|
| Baje Access Iṣakoso | Wiwọle laigba aṣẹ | Ifihan data |
| Àwọn Àṣìṣe Kríkóòdù | Ailagbara ìsekóòdù | Ifamọ data ole |
| Abẹrẹ | Ìmúṣẹ ìtẹ̀wọlé búburú | Àdéhùn sí ibi ìpamọ́ dátà |
| Apẹrẹ ti ko ni aabo | Àwọn àìlera ilé | Àwọn àìlera gbogbo-ẹ̀rọ |
| Aṣiṣe Aabo | Iṣeto ti ko tọ | Wiwọle laigba aṣẹ |
| Awọn ohun elo ipalara | Àwọn ìgbẹ́kẹ̀lé àtijọ́ | Ìbáṣepọ̀ pq ipese |
| Awọn Ikuna Ijeri | Àwọn ìṣàkóso ìdánimọ̀ tí kò lágbára | Gbigba iroyin |
| Àwọn Ìkùnà Ìdúróṣinṣin Sọ́fítíwètì | Ìfọ́mọ́ra ìkọ́lé/ìgbẹ́kẹ̀lé | Fifi malware sii |
| Àìkùnà ìforúkọsílẹ̀ àti ìtọ́jú | Wiwa idaduro | Akoko gbigbe ikọlu fun igba pipẹ |
| SSRF | Ilokulo ibeere inu | Adehun iṣẹ inu |
1. Iṣakoso Iwọle ti o bajẹ (A01:2021)
Kí ni Ìṣàkóso Ìwọ̀lé Tí Ó Fọ́?
Ìṣàkóso Ìwọ̀lé tí ó bàjẹ́ máa ń wáyé nígbà tí àwọn olùlò bá rí ìwọ̀lé tí a kò fún láṣẹ sí dátà tàbí àwọn ìṣe. Fún àpẹẹrẹ, olùkọlù kan lè lo URL láti gba ìwọ̀lé alákòóso. OWASP rí ìṣòro yìí nínú 94% àwọn ohun èlò tí a dán wò, èyí tí ó sọ ọ́ di ọ̀kan lára àwọn ìṣòro ààbò OWASP tí ó wọ́pọ̀ jùlọ.
Àwọn àtúnṣe fún Ìṣàkóso Wíwọlé Tí Ó Bájẹ
Láti dín ewu yìí kù, fi agbára mú kí àwọn ènìyàn má lo àǹfààní tó kéré jùlọ, ṣe àgbékalẹ̀ ìfàṣẹsí onípele-pupọ (MFA) fún àwọn iṣẹ́ tó ṣe pàtàkì, àti ṣe àyẹ̀wò àwọn àṣẹ olùlò déédéé.
Ààbò Àṣírí Xygeni Ṣe iranlọwọ lati daabobo alaye pataki bi awọn bọtini API ati awọn ami, dinku eewu ti awọn irufin iṣakoso iwọle. Abojuto nigbagbogbo n ṣe idaniloju iduroṣinṣin ti eto rẹ.
Àpẹẹrẹ Rael-World
In 2019, Ile-iṣẹ Iṣowo Amẹrika akọkọ fara hàn lórí Àwọn àkọsílẹ̀ onímọ̀lára 850 mílíọ̀nù nítorí ìṣàkóso ìwọlé tí kò tọ́. Àwọn olùkọlù lè ṣe àtúnṣe sí URL kan láti wọlé sí àwọn ìwé àṣírí. Nípa àìkíyèsí láti dáàbò bo àwọn ibi ìwọ̀lé dáadáa, ilé-iṣẹ́ náà fi àwọn ìwífún onímọ̀ràn sílẹ̀ ní ewu. Ìṣẹ̀lẹ̀ yìí tẹnu mọ́ àìní láti jẹ́rìí sí ipa àwọn olùlò àti láti rí i dájú pé àwọn ẹni tí a fún ní àṣẹ nìkan ló lè wọlé sí ìwífún onímọ̀ràn.
Kí ló dé tí ó fi ṣe pàtàkì lónìí? Àwọn ohun èlò ìgbàlódé ń fi àwọn API, iṣẹ́ ìkùukùu, àti ipa àwọn olùlò tí a pín kiri hàn, èyí tí ó mú kí wíwọlé láìgbàṣẹ jẹ́ ọ̀kan lára àwọn ewu ààbò tí ó wọ́pọ̀ jùlọ tí ó sì ń ba ìwífún ìṣòwò jẹ́.
2. Àwọn ìkùnà nípa ìkọ̀kọ̀ (A02:2021)
Kí ni àwọn ìkùnà ìkọ̀kọ̀?
Àìlera ìkọ̀kọ̀ máa ń wáyé nígbà tí àwọn ètò bá kùnà láti fi ìkọ̀kọ̀ sí àwọn ìkọ̀kọ̀ tó ṣe pàtàkì, èyí tó ń jẹ́ kí àwọn agbésùnmọ̀mí lè rí i gbà kí wọ́n sì lò ó nílòkulò. Ìkọ̀kọ̀ tó lágbára ṣe pàtàkì fún ààbò àwọn ìkọ̀kọ̀ tó ṣe pàtàkì.
Àwọn Àtúnṣe fún Àwọn Àṣìṣe Kíríkóòdù
Fi AES-256 pa data ti a fipamọ mọ ki o si fi agbara mu TLS 1.2 tabi ju bẹẹ lọ fun data ti o wa ni gbigbe. Maa yi awọn bọtini fifi ẹnọ kọ nkan pada nigbagbogbo ki o si fi awọn iṣakoso iwọle to tọ si wọn.
Àwọn ètò ìṣẹ̀dá Xygeni gẹ́gẹ́ bí kódì (IaC) Ààbò ṣàyẹ̀wò àwọn ètò ìfipamọ́ nígbà ìfipamọ́ láti dènà àwọn àìlera nínú àwọn ìlànà ìfipamọ́.
Apeere Aye-gidi
Ni 2017, Exactis, ile-iṣẹ ikojọpọ data kan, Àwọn àkọsílẹ̀ ẹnìkọ̀ọ̀kan 340 mílíọ̀nù ló hàn nítorí ìfipamọ́ tí kò tọ́. Àwọn olùkọlù wọ inú ìwífún ara ẹni bíi orúkọ, àdírẹ́sì, àti nọ́mbà fóònù nítorí pé a tọ́jú ìwífún náà sínú ìwé lásán. Ìrúfin yìí fi ewu àìṣe ìfipamọ́ ìwífún tó ṣe pàtàkì hàn. Nípa lílo ìfipamọ́ tó dára standardÀwọn ètò bíi AES-256 fún dátà ní ìsinmi àti TLS fún dátà ní ìrìnàjò, àwọn àjọ lè dáàbò bo dátà wọn kúrò lọ́wọ́ ìwọ̀lé tí a kò fún ní àṣẹ.
Kí ló dé tí ó fi ṣe pàtàkì lónìí? Àwọn àjọ ń kó àwọn dátà oníbàárà, owó, àti ìfàṣẹsí tó ṣe pàtàkì jọ, wọ́n sì ń gbé wọn káàkiri àwọsánmà, èyí sì ń mú kí ìkọ̀kọ̀ tó lágbára ṣe pàtàkì fún ààbò ìpamọ́ àti ìtẹ̀lé.
3. Abẹ́rẹ́ (A03:2021)
Kí ni àwọn ìkọlù abẹ́rẹ́?
Àwọn àìlera abẹ́rẹ́, bíi SQL Injection, ń jẹ́ kí àwọn abẹ́rẹ́ fi kódì búburú sínú ètò rẹ, èyí tí ó ń jẹ́ kí wọ́n lè ṣe àtúnṣe tàbí jí dátà. Àwọn ìkọlù abẹ́rẹ́ ṣì jẹ́ ọ̀kan lára àwọn ewu ààbò ohun èlò tí ó wọ́pọ̀ jùlọ tí ó ń nípa lórí àwọn ohun èlò wẹ́ẹ̀bù òde òní.
Àwọn àtúnṣe fún Awọn ikọlu abẹrẹ
Lo awọn ibeere ti a ti paramita ṣe ki o si jẹrisi awọn titẹ sii olumulo. Yẹra fun awọn ibeere ti o ni agbara nigbakugba ti o ba ṣeeṣe lati dinku awọn eewu.
Ṣíṣàwárí Àìsàn Xygeni diigi CI/CD pipelines fún ìwà àìdára, mímú àwọn ìgbìyànjú abẹ́rẹ́ tó ṣeéṣe ní àkókò gidi.
Apeere Aye-gidi
In 2017, Equifax jiya a irufin data nla ti o ṣafihan alaye ti ara ẹni ti Awọn alabara miliọnu 147. Ìrúfin náà jẹyọ láti inú Àìlera ìfúnpọ̀ SQL, èyí tó fún àwọn olùkọlù láyè láti lo ojú-òpó wẹ́ẹ̀bù ilé-iṣẹ́ náà kí wọ́n sì wọlé sí àwọn ìwífún pàtàkì tí a tọ́jú sínú ibi ìkópamọ́ dátà. Àwọn àjọ gbọ́dọ̀ rí i dájú pé àwọn ètò wọn mú kí àwọn ohun tí olùlò ń lò mọ́ tónítóní. Ṣíṣe àtúnṣe déédéé àti dídáàbòbò àwọn ìbéèrè SQL lè ti dènà àìlera yìí.
Kí ló dé tí ó fi ṣe pàtàkì lónìí? Àwọn àìlera abẹ́rẹ́ ń tẹ̀síwájú láti ní ipa lórí àwọn ohun èlò wẹ́ẹ̀bù, àwọn API, àti àwọn ìṣiṣẹ́ ìdàgbàsókè tí a ṣe ìrànlọ́wọ́ fún AI níbi tí ìfàsẹ́yìn tí kò ní ìfọkànsí bá dé ọ̀dọ̀ àwọn olùtumọ̀, àwọn ibi ìpamọ́ dátà, tàbí àwọn ètò ìpadàsẹ́yìn.
4. Apẹrẹ Ailewu (A04:2021)
Kí ni Apẹrẹ Ailewu?
Apẹrẹ Ailewu maa n waye nigbati awọn olupilẹṣẹ ba kuna lati ṣafikun aabo sinu ipele apẹrẹ akọkọ, eyiti o ṣẹda awọn ailagbara ti o nira lati tunṣe nigbamii. Awọn ailera wọnyi nira lati tunṣe ni kete ti awọn ohun elo ba de awọn agbegbe iṣelọpọ.
Àwọn àtúnṣe fún Apẹrẹ ti ko ni aabo
Fi àwọn ìlànà ìṣẹ̀dá àti àpẹẹrẹ ewu kún un ní ìbẹ̀rẹ̀ ìgbésí ayé ìdàgbàsókè. Máa ṣe àyẹ̀wò àwọn àléébù tó lè wà nínú ìṣẹ̀dá rẹ déédéé kí o sì tún wọn ṣe kí wọ́n tó di ìṣòro pàtàkì.
Xygeni's Application Security Posture Management (ASPM) Ṣàwárí àwọn àléébù tó ṣeé ṣe kí àwọn olùkọlù tó lè lò wọ́n, èyí sì máa ń mú kí àwọn olùgbékalẹ̀ kó ààbò sínú ọjà wọn láti ìbẹ̀rẹ̀.
Apeere Aye-gidi
Àpẹẹrẹ gidi tuntun kan ti Apẹrẹ ti ko ni aabo ni awọn Àwọn àìlera Microsoft Exchange ProxyShell ní ọdún 2021Àwọn olùkọlù lo àwọn àbùkù àpẹẹrẹ nínú àwọn ẹ̀rọ ìfàṣẹsí àti ìṣàkóso ìwọlé Microsoft Exchange, èyí tí ó fún wọn láyè láti ṣe kódì láti ọ̀nà jíjìn lórí àwọn olupin tí ó léwu. Àwọn àbùkù wọ̀nyí kì í ṣe àṣìṣe ìfisíṣẹ́, ṣùgbọ́n àwọn àbùkù àpẹẹrẹ pàtàkì tí ó mú kí ìlòkulò ṣeé ṣe kódà lẹ́yìn tí a bá lo àwọn àtúnṣe tí kò tọ́. Ìrúfin yìí tẹnumọ́ pàtàkì ti ṣíṣàkópọ̀ ààbò ní ìpele ìṣètò láti dènà àwọn àbùkù láti di ohun tí a kọ́ sínú ètò náà.
Kí ló dé tí ó fi ṣe pàtàkì lónìí? Àwọn àìlera ààbò tí a gbé kalẹ̀ nígbà tí a ṣe àgbékalẹ̀ rẹ̀ ṣòro láti túnṣe nígbà tí ó bá yá, pàápàá jùlọ ní àwọn agbègbè ìdàgbàsókè tí ó ń yí padà sí ìkùukùu àti àwọn àyíká ìdàgbàsókè tí ń yára yí padà.
5. Àṣìṣe Ààbò (A05:2021)
Kí ni Àṣìṣe Ààbò?
Ààbò Àìṣeéṣe ìṣètò àìtọ́ máa ń wáyé nígbà tí àwọn agbéròyìnjáde bá lo àwọn ètò tí a kò ṣètò dáadáa, bí irú àwọn tí wọ́n ń lo àwọn ètò àìṣeéṣe tàbí tí wọ́n ń fi àwọn ibùdókọ̀ tí kò pọndandan sílẹ̀. Àìṣeéṣe ìṣètò ṣì jẹ́ ọ̀kan lára àwọn okùnfà pàtàkì tí ó ń fa àwọn ìṣẹ̀lẹ̀ ààbò ìkùukùu àti ohun èlò.
Àwọn àtúnṣe fún Aṣiṣe Aabo
Awọn iṣayẹwo iṣeto laifọwọyi nipa lilo Awọn amayederun bi koodu (IaC) kí o sì ṣe àyẹ̀wò ààbò déédéé. Jẹ́ kí gbogbo ètò máa ní àtúnṣe pẹ̀lú àwọn àtúnṣe tuntun.
Xygeni's IaC Security Ó ń ṣe àyẹ̀wò fún àwọn àṣìṣe ìṣètò kí ó tó di pé a gbé e kalẹ̀, ó sì ń fi àwọn ìlànà ààbò múlẹ̀ ní gbogbo àyíká.
Apeere Aye-gidi
Ni 2018, NASA ti ni iriri irufin nitori misconfigured eto in JIRA Atlassian Àwọn olùkọlù tí a ti fi hàn pé wọ́n ní ìfòyemọ̀ nípa iṣẹ́ àti ìwífún òṣìṣẹ́. Àwọn olùkọlù wọlé sí ìwífún náà nítorí ìṣètò ṣíṣí sílẹ̀. Àwọn àyẹ̀wò ààbò aládàáṣe àti ìmúṣẹ àwọn ìlànà ìṣètò tó tọ́ lè dènà ìrúfin yìí. Àwọn àyẹ̀wò déédéé ìbá ti ṣàwárí ìpalára náà kí àwọn olùkọlù tó lo ó.
Kí ló dé tí ó fi ṣe pàtàkì lónìí? Awọn iṣẹ awọsanma ti ko tọ, CI/CD pipelineàwọn àpótí, àwọn àpótí, àti àwọn ìsopọ̀ ìṣàkóso tí a fi hàn ṣì jẹ́ ọ̀kan lára àwọn okùnfà pàtàkì tí ó ń fa ìrúfin ààbò òde òní.
6. Àwọn Ẹ̀yà Ara Tí Ó Lè Ṣeéṣe àti Tí Ó Ti Dáadáa (A06:2021)
Kí ni Àwọn Ẹ̀yà Ara Tí Ó Lè Ṣeé Ṣeé Ṣeé Ṣeé Ṣeé Ṣeé Ṣeé Ṣeé Ṣeé Ṣeé Ṣeé?
Àwọn ohun èlò tí ó lè farapa àti èyí tí ó ti gbó máa ń ṣẹlẹ̀ nígbà tí o bá lo àwọn ilé ìkàwé ẹni-kẹta tàbí àwọn ètò tí a mọ̀ pẹ̀lú àwọn àléébù ààbò. Àwọn olùkọlù lè lo àwọn àléébù wọ̀nyí láti ba ohun èlò rẹ jẹ́. Èyí jẹ́ ewu tí ó léwu gidigidi, nítorí pé ó tó 60% àwọn ohun èlò òde òní ni a fi àwọn ohun èlò ẹni-kẹta kọ́.
Àwọn àtúnṣe fún Àwọn Ohun Èlò Tó Lè Ṣeé ...
Ṣe àtúnṣe àwọn ilé ìkàwé àti àwọn ìgbẹ́kẹ̀lé àwọn ẹlòmíràn déédéé, kí o sì lo Ìṣàyẹ̀wò Ìṣẹ̀dá Softwarẹ (SCA) àwọn irinṣẹ́ láti ṣàwárí àti láti tún àwọn àìlera ṣe.
Xygeni's Open Source Security Ṣe àyẹ̀wò àwọn ohun tí o gbẹ́kẹ̀lé láti dènà lílo àwọn ohun èlò àtijọ́ tàbí àwọn ohun búburú, èyí tí ó ń ràn ọ́ lọ́wọ́ láti tọ́jú ohun èlò tí ó ní ààbò.
Apeere Aye-gidi
In 2017, Apache Struts ní àìlera tí kò ṣeé yípadà tí ó yọrí sí Equifax irufin, ní ipa lórí àwọn mílíọ̀nù àwọn olùlò. Àìlera náà wà nínú Apache Struts 2, ètò tí a ń lò fún gbogbo ènìyàn, àti Equifax kò lo àtúnṣe náà ní àkókò. Èyí mú kí àwọn ètò wọn fara hàn sí ìlòkulò. Àwọn àtúnṣe tó bá àkókò mu àti ìwòye àìlera déédéé ìbá ti dènà ìrúfin yìí.
Kí ló dé tí ó fi ṣe pàtàkì lónìí? Àwọn ohun èlò ìgbàlódé gbára lé àwọn àkójọ orísun ṣíṣí àti àwọn ilé ìkàwé ẹni-kẹta, èyí tí ó mú kí àwọn ìkọlù pq ìpèsè sọ́fítíwè àti àwọn ìgbẹ́kẹ̀lé tí ó ṣeéṣe jẹ́ àníyàn AppSec tí ń pọ̀ sí i.
7. Àwọn Ìkùnà Ìjẹ́rìísí (A07:2021)
Kí ni àwọn ìkùnà ìdámọ̀ àti ìjẹ́rìí?
Àwọn àìlera wọ̀nyí máa ń ṣẹlẹ̀ nígbà tí àwọn ẹ̀rọ ìfàṣẹsí bá jẹ́ aláìlera tàbí tí a kò fi ọ̀nà tí ó tọ́ sí wọn, èyí tí ó ń jẹ́ kí àwọn olùkọlù borí àwọn ìṣàkóso ààbò.
Àwọn àtúnṣe fún Àwọn Àṣìṣe Ìdámọ̀ àti Ìjẹ́rìísí
Ṣe àwọn ìlànà ọ̀rọ̀ìpamọ́ tó lágbára, fipá mú ìfàṣẹsí onípele púpọ̀ (MFA) ṣiṣẹ́, àti àyẹ̀wò àkọsílẹ̀ ìfàṣẹsí láti dènà wíwọlé láìgbàṣẹ.
Ààbò Àṣírí Xygeni ń ran àwọn ìwé ẹ̀rí rẹ lọ́wọ́ láti dáàbò bo, èyí sì ń dín ewu jíjò kù nígbà tí a bá ń ṣe ìforúkọsílẹ̀ náà.
Apeere Aye-gidi
In 2020, awọn Kamẹra aabo oruka Àwọn ọ̀rọ̀ìpamọ́ tí kò lágbára ló fa ìrúfin náà. Àwọn olùkọlù lo ọ̀rọ̀ìpamọ́ tí ó rọrùn wọ́n sì rí àǹfààní láti wo àwọn fídíò láyìíká láti ẹgbẹẹgbẹrun awọn kamẹra olumuloÌrúfin yìí fi hàn pé ó ṣe pàtàkì láti lo àwọn ìlànà ìfàṣẹsí tó lágbára. Nítorí náà, ṣíṣe bẹ́ẹ̀ Ijeri olona-ifosiwewe (MFA) ati imuse lagbara ọrọigbaniwọle imulo ìbá ti rọrùn láti dènà wíwọlé láìgbàṣẹ.
Kí ló dé tí ó fi ṣe pàtàkì lónìí? Àwọn ọ̀nà ìfàṣẹsí tí kò lágbára ń tẹ̀síwájú láti jẹ́ kí àwọn ènìyàn gba àkọọ́lẹ̀, kíkọlù ìforúkọsílẹ̀, àti wíwọlé láìgbàṣẹ kọjá SaaS, ìkùukùu, àti enterprise ohun elo.
8. Àwọn Ìkùnà Ìdúróṣinṣin Sọ́fítíwè àti Dátà (A08:2021)
Kí ni àwọn ìkùnà ìdúróṣinṣin sọ́fítíwè àti dátà?
Àwọn àìlera wọ̀nyí máa ń ṣẹlẹ̀ nígbà tí kódì tàbí ètò ìṣiṣẹ́ kò bá dáàbò bo ara wọn lọ́wọ́ ìfọ́mọ́ra. Àwọn olùkọlù lè ba ìkọ́lé jẹ́. pipelines, awọn igbẹkẹle, tabi awọn ilana imuṣiṣẹ, fifi koodu irira sinu awọn imudojuiwọn igbẹkẹle. Iru abawọn yii ti di aibalẹ pataki nitori ilosoke awọn ikọlu pq ipese, nibiti awọn paati ẹgbẹ kẹta ti a gbẹkẹle paapaa ni a fojusi lati wọ inu awọn nẹtiwọọki.
Àwọn àtúnṣe fún Àwọn Ìkùnà Ìdúróṣinṣin Sọ́fítíwè àti Dátà
Láti dín èyí kù, ṣe ìmúṣẹ ìfọwọ́sowọ́pọ̀ kódì, lo àwọn ìlànà ìkọ́lé tó ní ààbò, kí o sì fìdí múlẹ̀ pé gbogbo àwọn ẹ̀yà ẹni-kẹta jẹ́ òótọ́.
Xygeni's CI/CD aabo idaniloju pe rẹ pipelineÀwọn s ní ààbò àti àbójútó fún àwọn àìlera. Ìwádìí Àìsàn Xygeni lè ṣàwárí àwọn ìgbòkègbodò tí ó lè fi hàn pé wọ́n ń ṣe ìfọ́mọ́ra.
Apeere Aye-gidi
In 2024, ikọlu pataki kan ti a fojusi lori pq ipese Awọn ohun elo XZ, ibi ìkàwé ìfúnpọ̀ tí a ń lò ní gbogbogbòò nínú àwọn ètò Linux. XZ Utils jẹ́ irinṣẹ́ pàtàkì tí a ń lò fún fífọ àwọn fáìlì, tí ẹgbẹẹgbẹ̀rún àwọn àjọ gbẹ́kẹ̀lé. Síbẹ̀síbẹ̀, àwọn olùkọlù ba ìlànà ìkọ́lé iṣẹ́ náà jẹ́ nípa fífi ilẹ̀kùn ẹ̀yìn sínú kódì náà.
Àwọn agbésùn náà kò kíyèsí fún ìgbà díẹ̀, èyí tí ó túmọ̀ sí wípé àwọn ètò tí ó gbára lé ibi ìkówèésí tí wọ́n ti bàjẹ́ náà lè ṣe àgbéyẹ̀wò àwọn ìlànà láti ọ̀nà jíjìn àti láti lo àwọn nǹkan mìíràn. Nítorí náà, àwọn agbésùn wọ̀nyí gba agbára lórí àwọn ètò tí ó ní ipa, èyí tí ó yọrí sí ìrúfin dátà àti ìfọ́mọ́ àwọn ìsọfúnni pàtàkì.
Ìṣẹ̀lẹ̀ yìí jẹ́ ìrántí tó ṣe kedere nípa ewu tó wà nínú ipese pq ku. Àní ilé ìkàwé tí a gbẹ́kẹ̀lé gidigidi ni a lè lò láti ba ọ̀pọ̀lọpọ̀ ètò jẹ́. Nípa rírí dájú pé àwọn ìlànà ìkọ́lé tí ó ní ààbò, lílo àwọn ọ̀nà ìfọwọ́sowọ́pọ̀ kódì, àti ṣíṣe àkíyèsí àwọn ẹ̀yà ẹni-kẹta nígbà gbogbo, àwọn àjọ lè dènà irú àwọn àìlera bẹ́ẹ̀ láti wọ inú àwọn ètò wọn.
Kí ló dé tí ó fi ṣe pàtàkì lónìí? Àwọn ìkọlù pq ipese software tó ń fojúsùn sí ilé pipelines, àwọn ìforúkọsílẹ̀ àkójọpọ̀, àwọn ìgbẹ́kẹ̀lé, àti CI/CD Àwọn ètò ìṣiṣẹ́ ti di ewu ńlá fún ìdàgbàsókè sọ́fítíwè òde òní.
9. Àìkùnà Ìforúkọsílẹ̀ Ààbò àti Ìṣàbójútó (A09:2021)
Kí ni àwọn ìkùnà ìforúkọsílẹ̀ àti ìṣàbójútó ààbò?
Àwọn ìkùnà wọ̀nyí máa ń ṣẹlẹ̀ nígbà tí àwọn ohun èlò kò bá kọ àkọsílẹ̀ ààbò dáadáa tàbí tí wọn kò bá ní àwọn ẹ̀rọ ìṣàyẹ̀wò. Láìsí àkọsílẹ̀ àlàyé, wíwá àti dídáhùn sí àwọn ìkọlù máa ń ṣòro. Àwọn àìlera wọ̀nyí sábà máa ń fa ìwádìí ìrúfin, èyí sì máa ń jẹ́ kí àwọn olùkọlù lo àwọn ẹ̀rọ náà fún ìgbà pípẹ́.
Àwọn àtúnṣe fún Àìkùnà Ìforúkọsílẹ̀ Ààbò àti Ìṣàyẹ̀wò
Mu kí ìforúkọsílẹ̀ gbogbogbòò ṣiṣẹ́ fún gbogbo ìgbésẹ̀ pàtàkì, tọ́jú àwọn àkọsílẹ̀ ní ààbò, kí o sì rí i dájú pé wọ́n ń ṣe àbójútó wọn fún àwọn ìgbòkègbodò tí ó fura sí. Jù bẹ́ẹ̀ lọ, lo àwọn irinṣẹ́ aládàáṣe láti kìlọ̀ fún ọ nípa àwọn ewu tí ó lè ṣẹlẹ̀.
Ṣíṣàwárí Àìsàn Xygeni Ó ń ran àwọn ènìyàn lọ́wọ́ láti mọ àwọn ìgbòkègbodò tí kò wọ́pọ̀ ní àkókò gidi. CI/CD Ààbò ń rí i dájú pé a ń lo àwọn ìṣètò ìforúkọsílẹ̀ àti ìṣàyẹ̀wò ní gbogbo àyíká.
Apeere Aye-gidi
In 2023, Uber ní ìrírí ìrúfin data kan tí ba alaye ti ara ẹni ti ẹgbẹẹgbẹrun awọn awakọ jẹÌrúfin náà wáyé nígbà tí ilé-iṣẹ́ òfin ẹni-kẹta kan, Genova Burns, ní ìrírí ìṣẹ̀lẹ̀ ààbò kan, tí ó tú àṣírí àwọn ìwífún náà. Bó tilẹ̀ jẹ́ pé àwọn ìkìlọ̀ ni a mú wá, àwọn ẹ̀rọ ìṣọ́ Uber kò rí àti dáhùn sí ìkọlù náà lẹ́sẹ̀kẹsẹ̀.
Àwọn ajálù náà rí àwọn ìwífún tó ṣe pàtàkì, títí bí orúkọ, nọ́ńbà fóònù, àti àkọsílẹ̀ ìwakọ̀. Ìdí tí wọ́n fi dáwọ́ dúró yìí jẹ́ nítorí àìsí ìgbógi tó péye àti àìtó àwọn ẹ̀rọ ìṣọ́ tó péye.
Tí Uber bá ṣe àkíyèsí bí wọ́n ṣe ń lo àwọn ẹ̀rọ rẹ̀ dáadáa tí wọ́n sì ń lo àwọn ìlànà ìgégi tó dára jù, wọn ì bá ti rí ìgégi náà ní kíákíá. Nítorí náà, ilé-iṣẹ́ náà ì bá ti dín ìbàjẹ́ orúkọ rere àti àdánù owó kù. Ìgégi yìí fi hàn pé ó ṣe pàtàkì láti máa ṣe àkóso àwọn ẹ̀rọ ìgégi àti àbójútó tó munadoko láti rí àti dín àwọn ewu kù ní ìbẹ̀rẹ̀.
Kí ló dé tí ó fi ṣe pàtàkì lónìí? Láìsí ìríran àti àbójútó tó yẹ, àwọn àjọ máa ń jìjàkadì láti rí àwọn ìkọlù ní ìbẹ̀rẹ̀, èyí sì máa ń jẹ́ kí àwọn olùkọlù má wà láìsí ìwádìí fún ìgbà pípẹ́.
10. Ìbéèrè fún Ẹ̀gbẹ́ Alágbàṣe (SSRF) (A10:2021)
Kí ni ìfọ̀rọ̀wérọ̀ ìbéèrè ẹ̀gbẹ́ olupin?
SSRF máa ń wáyé nígbà tí àwọn olùkọlù bá ń tàn olupin kan jẹ láti béèrè sí àwọn ibi tí a kò fẹ́, tí ó sábà máa ń wọlé sí àwọn iṣẹ́ inú ilé tí ó yẹ kí a dínkù. Àìlera yìí máa ń jẹ́ kí àwọn olùkọlù wọlé sí àwọn ìwífún pàtàkì tàbí kí wọ́n ṣe àwọn àṣẹ lórí àwọn ẹ̀rọ inú ilé.
Àwọn àtúnṣe fún SSRF
Láti dènà SSRF, jẹ́rìí gbogbo àwọn ìfilọ́lẹ̀ olùlò kí o sì dín agbára olupin náà láti ṣe àwọn ìbéèrè ìjáde. Ní àfikún, lo àwọn ààyè láti ṣàkóso àwọn URL tí olupin náà lè wọlé sí.
Xygeni's CI/CD Aabo ṣe iranlọwọ lati ṣe atẹle pipelines fún àwọn àìlera SSRF tó ṣeéṣe. Jù bẹ́ẹ̀ lọ, Ìwádìí Àìsàn Xygeni lè mú àwọn ìlànà ìbéèrè tí a kò retí tàbí tí a fura sí.
Apeere Aye-gidi
In 2022, ipalara pataki kan ninu Microsoft Exchange (CVE-2022-41040) Àwọn olùkọlù ni wọ́n lò láti lo àwọn ọ̀nà SSRF. Àwọn olùkọlù lè fi àwọn ìbéèrè búburú ránṣẹ́ sí olupin Exchange, wọ́n sì borí ààbò ààbò inú ilé.
Nígbà tí wọ́n bá wọlé, àwọn agbésùn náà wọ inú ẹ̀rọ wọn, wọ́n sì tún fi àwọn ìsọfúnni pàtàkì sí wọn. Nípa lílo SSRF, wọ́n rí àǹfààní láti wọ inú àwọn ohun èlò tí a kò gbà láyè, èyí sì yọrí sí ìrúfin ààbò tó pọ̀.
Àwọn àìlera SSRF léwu gan-an nítorí wọ́n fún àwọn olùkọlù láyè láti lo àwọn ètò inú ilé tí kò yẹ kí wọ́n fi hàn gbangba. Tí Microsoft bá ti ṣe àwọn ìfòfindè ìfàṣẹsí àti àwọn ìdènà ìbéèrè tí ń jáde, wọ́n ìbá ti dí àwọn olùkọlù lọ́wọ́ láti lo àìlera yìí. Ìrúfin yìí fi hàn pé ó ṣe pàtàkì láti ṣàkóso àwọn ìbéèrè olupin sí àwọn ohun èlò inú ilé tí ó ṣe pàtàkì àti rírí dájú pé àwọn orísun tí a gbẹ́kẹ̀lé nìkan ló lè bá wọn lò.
Kí ló dé tí ó fi ṣe pàtàkì lónìí? Àwọn àwòrán ìbílẹ̀ àwọsánmà àti àwọn API inú ti mú kí ipa àwọn àìlera SSRF pọ̀ sí i, èyí tí àwọn olùkọlù ń lò láti wọ inú iṣẹ́ àti àwọn ètò metadata tó ṣe pàtàkì.
Ìdí Tí Àwọn OWASP Top 10 Fi Ń Ṣe Pàtàkì Sí I
awọn Àwọn ìṣòro 10 tó ga jùlọ nínú OWASP Ó ṣe pàtàkì fún àwọn àjọ tí wọ́n ń gbìyànjú láti dáàbò bo àwọn ohun èlò wọn lọ́wọ́ àwọn ewu tó wọ́pọ̀ jùlọ àti èyí tó léwu jùlọ. Àwọn ewu wọ̀nyí kì í ṣe ti èrò; wọ́n dúró fún àwọn ewu gidi tó lè fa ìrúfin dátà, àdánù owó, àti ìbàjẹ́ orúkọ rere. Nípa ṣíṣe àtúnṣe sí àwọn àìlera wọ̀nyí, àwọn àjọ lè dín ewu ìkọlù tó ṣeéṣe kù ní pàtàkì kí wọ́n sì rí i dájú pé àwọn ètò wọn dúró ṣinṣin sí àwọn ewu tó ń yípadà.
Síwájú sí i, lílo àwọn ọ̀nà àbájáde tí a dámọ̀ràn nínú àkójọ àwọn àìlera OWASP Top 10 ń ran àwọn àjọ lọ́wọ́ láti lo ọ̀nà ìlànà sí ààbò. Fún àpẹẹrẹ, mímú ìṣàkóso ìwọlé lágbára sí i, dídáàbòbò àwọn ìṣe ìkọ̀kọ̀, àti dín ewu pọ́ọ̀npútà ìpèsè kù gbogbo wọn ló ń kó ipa pàtàkì nínú bíbójútó àwọn àìlera wọ̀nyí. Nítorí náà, àwọn àjọ ń dín ojú ìkọlù kù, èyí sì ń mú kí ó ṣòro fún àwọn olùkọlù láti lo àwọn àìlera nínú ètò náà.
Bí àwọn ewu lórí ayélujára ṣe ń pọ̀ sí i, ó ṣe pàtàkì fún àwọn àjọ láti máa ṣáájú àwọn ewu tó lè ṣẹlẹ̀. Nípa gbígbé ìgbésẹ̀ ní kùtùkùtù, àwọn àjọ máa ń rí ààbò fún ìgbà pípẹ́ fún àwọn ohun èlò wọn, wọ́n sì máa ń gbẹ́kẹ̀lé àwọn olùlò wọn.
Yàtọ̀ sí àwọn àìlera OWASP Top 10 tí a ti mọ̀ tẹ́lẹ̀, àwọn àjọ máa ń dojúkọ àwọn ìdìpọ̀ orísun ìkà, àwọn ìkọlù ìdàrúdàpọ̀ ìgbẹ́kẹ̀lé, àwọn ìpolówó ìkọ̀wé, kódù tí AI ti ṣẹ̀dá láìsí ààbò, CI/CD pipeline ìfọ́mọ́ra, ìfìhàn àṣírí, àti ẹ̀rọ ìpèsè software.
Àwọn ètò AppSec òde òní ń dara pọ̀ mọ́ ìtọ́sọ́nà OWASP pẹ̀lú software supply chain security, Ààbò AI, àti ìṣàyẹ̀wò ewu àkókò ìṣiṣẹ́ láti kojú àwọn ojú ìkọlù tó ń yípadà.
Báwo ni Xygeni ṣe ń ṣe àtìlẹ́yìn fún àwọn ètò OWASP àti OWASP SAMM
Adirẹsi awọn Àwọn ìṣòro 10 tó ga jùlọ nínú OWASP ṣe pataki si aabo awọn ohun elo wẹẹbu. sibẹsibẹ, dídáàbòbò ìbéèrè rẹ kò dúró síbẹ̀. Àwòṣe Ìdàgbàsókè Ìdánilójú Sọfítíwẹ́ẹ̀tì OWASP (SAMM) n pese ilana kan fun ṣiṣe ayẹwo ati imudarasi idagbasoke aabo rẹ jakejado igbesi aye idagbasoke sọfitiwia naa (SDLC). Nipa sisọpọ Àwọn àjọ kò lè dín ìnáwó náà kù nìkan Àwọn ìṣòro ààbò mẹ́wàá tó ga jùlọ fún OWASP ṣùgbọ́n wọ́n tún ń mú kí ààbò wọn gbòòrò sí i, gẹ́gẹ́ bí OWASP SAMM ṣe ṣàlàyé rẹ̀.
Ṣíṣe Ààbò Ohun Èlò Lókun pẹ̀lú Xygeni
Xygeni fún àwọn àjọ lágbára láti kojú ìṣòro náà Àkójọ àwọn àìlera 10 tó ga jùlọ ti OWASP nígbàtí ó ń mú kí ìgbékalẹ̀ OWASP SAMM yára, ó ń ran àwọn àjọ lọ́wọ́ láti máa mú kí ìdàgbàsókè ààbò sọ́fítíwètì máa pọ̀ sí i nígbà gbogbo. Nípa ṣíṣe àtúnṣe àwọn ìṣàkóso ààbò, ṣíṣe àfikún ewu, àti mímú kí ìṣàkóso ìṣẹ̀lẹ̀ lágbára sí i, Xygeni ń ran àwọn àjọ lọ́wọ́ láti kọ́ sọ́fítíwètì tó ní ààbò, tó sì lè dúró ṣinṣin, ó sì ń dín ewu ìrúfin ààbò kù lọ́nà tó dára.
Nípasẹ̀ àbójútó àkókò gidi, wíwá àìlera aládàáṣe, àti fífi ìlànà múlẹ̀ ní gbogbogbòò SDLC, Xygeni mú kí àwọn ìsapá ààbò àti ìtẹ̀lé ìlànà rọrùn, ó sì bá àwọn ìlànà tó dára jùlọ ti OWASP SAMM mu. Èyí mú kí àwọn àjọ lè mú kí ìdàgbàsókè ààbò wọn pọ̀ sí i, pẹ̀lú ìlànà tó ṣe kedere fún ìdàgbàsókè tó ń bá a lọ.
Gbé ìgbésẹ̀ Nísinsìnyí láti dáàbò bo àwọn ohun èlò ìforúkọsílẹ̀ rẹ
awọn Àwọn ìṣòro 10 tó ga jùlọ nínú OWASP fi àwọn ewu ààbò tó le koko jùlọ tó ń dojúkọ àwọn ohun èlò ìgbàlódé hàn. Àwọn ìlànà OWASP àti lílo àwọn ìlànà tó dára jùlọ tí a ṣàlàyé níbí, o lè daabo bo ajọ rẹ lodi si awọn irokeke wọnyi kí o sì kọ́ àwọn ohun èlò tí ó lè kojú àwọn ìkọlù tó gbajúmọ̀.
Mu Aabo Ohun elo Rẹ lagbara ati Software Supply Chain Security.
Àwọn ohun èlò ìgbàlódé nílò ju ìwòran àìlera ìbílẹ̀ lọ. Xygeni ṣe iranlọwọ fun awọn ajọ lati ṣe idanimọ, ṣe pataki, ati tunṣe awọn ewu 10 oke OWASP kọja koodu orisun, awọn igbẹkẹle orisun ṣiṣi, CI/CD pipelines, amayederun awọsanma, ati awọn iṣan-iṣẹ idagbasoke ti iranlọwọ nipasẹ AI.
Ṣe àwárí bí Xygeni ṣe ń ran àwọn ẹgbẹ́ AppSec àti DevSecOps lọ́wọ́ láti dín ewu kù ní gbogbo ìgbàlódé yìí SDLC!
