。 - 删除:A6-信息泄露和不恰当的错误处理。这个问题十分普遍,但是泄露堆栈跟踪和错误信息的影响通常很小。 在今年的版本中增加了错误的安全配置,恰当的错误处理配置已成为应用程序和服务器安全配置的一个重要部分。
OWASP?Top?10?– 2007?(旧版)?
A2?- 注入漏洞 A1?- 跨站脚本(XSS) A7?- 失效的身份认证和会话管理 A4?- 不安全的直接对象引用 A5?- 跨站请求伪造 (CSRF) <曾经是2004年T10中的A10??-不
安全配置管理> A8?-不安全的加密存储 A10?- 没有限制URL访问 A9?- 不安全的
通信 <不在2007年T10中> A3?- 恶意文件执行 A6?- 信息泄漏和不恰当的错误处理
OWASP?Top?10?– 2010?(新版)
A1?- 注入 A2?- 跨站脚本(XSS) A3?-失效的身份认证和会话管理 A4?- 不安全的直接对象引用 A5?- 跨站请求伪造 (CSRF) A6?-安全配置错误 (新) A7?- 不安全的加密存储 A8?-没有限制URL访问 A9?- 传输层保护不足 A10?- 未验证的重定向和转发 (新) <从2010年T10中删除> <从2010年T10中删除>
Risk
威胁代理
应用程序安全风险
什么是应用程序安全风险?
攻击者可以通过应用程序中许多不同的路径方法去危害你的业务或者企业组织。每种路径方法都代表了一种风险, 这些风险可能会,也有可能不会严重到值得去关注。
攻击向量 安全漏洞 安全控制 技术影响 业务影响
攻击
漏洞
控制 资产
影响
攻击
漏洞
控制 功能
影响
攻击
漏洞 资产 漏洞 控制
影响
有时,这些路径方法很容易被发现并被利用,但有的则非常困难。同样,所造成危害的范围也从没有危害,到有可 能完全损害你的整个业务。为了确定你的企业的风险,你可以结合其产生的技术影响和对企业的业务影响,去评估威胁 代理、攻击向量和安全漏洞的可能性。总之,这些因素决定了全部的风险。
我有什么风险?
这次 OWASP?Top?10的更新重点在于为广大企业组织确定一组最严重的风 险。对于其中的每一项风险,我们将使用基于OWASP风险等级排序方法的简 单评级
方案,提供关于可能性和技术影响方面的普遍信息。
威胁 代理 攻击 向量 易 漏洞 普遍性 广泛 常见 少见 漏洞 可检测性 易 平均 难 技术影响 严重 中等 小 业务影响
参考资料
OWASP资料
? OWASP?Risk?Rating?Methodology ? Article?on?Threat/Risk?Modeling
?
平均 难
?
其他资料
? FAIR?Information?Risk?Framework ? Microsoft?Threat?Modeling?(STRIDE? and?DREAD)
但是,只有你了解你自己的
系统环境和企业的具体情况。对于任何已知 的应用程序,可能某种威胁代理无法实施相应的攻击,或者技术影响并没有 什么差别。因此,你必须亲自评估每一种风险,特别是需要针对你企业内部 的威胁代理、安全控制、业务影响等方面。 尽管OWASP?Top?10以前的版本重点在于确定那些最常见的“漏洞”,但它 们仍然是围绕风险来
设计的。在Top?10中的风险名称有的来自于攻击的类 型,有的来自于漏洞,而有的来自于所造成的影响。 我们选择了最广为人知 的名称,从而期待它们能得到最高的关注度。
T10
OWASP?十大应用程序安全风险 ‐ 2010
A1
威胁代理
注入
攻击向量 安
全漏洞 技术影响 业务影响
__________ 考虑任何能够发送 不信任数据到系统 的人,包括外部用 户,内部用户和管 理员。
可利用性 易 攻击者发送简单的 基于文本的攻击, 用于利用目标处理 程序语法。几乎任 何数据源都能成为 注入媒介,包括内 部来源。
普遍性 常见
可检测性 平均
影响 严重 注入能导致数据丢 失或数据破坏、缺 乏可审计性或是拒 绝服务。注入漏洞 有时甚至能导致完 全主机接管。
__________ 考虑受影响的数据 和运行解释器的平 台的商业价值。所 有的数据都有可能 被偷窃,篡改和删 除。你的声誉是否 会被影响?
注入漏洞发生在应用程序将不可信的数 据发送到解释器时。注入漏洞十分普 遍,尤其是在遗留代码中,通常能在 S