OWASP Top 10 bez żargonu

Czym jest ta lista

OWASP to niekomercyjna organizacja zajmująca się bezpieczeństwem aplikacji. Publikowana przez nią lista Top 10 zbiera najczęstsze kategorie podatności w aplikacjach webowych i jest dziś punktem odniesienia dla audytów na całym świecie.

Jej praktyczna wartość polega na tym, że zamiast szukać „czegokolwiek", sprawdza się po kolei najlepiej udokumentowane klasy błędów - te, które realnie prowadzą do włamań.

Cztery kategorie, które widuje się najczęściej

• Błędy kontroli dostępu. Użytkownik zmienia numer w adresie i widzi cudze dane albo wchodzi do panelu administratora, bo strona ukryła przycisk, ale nie zabezpieczyła samego adresu. Ukrycie elementu w interfejsie nigdy nie jest zabezpieczeniem.
• Wstrzyknięcia (SQL Injection). Dane z formularza trafiają wprost do zapytania do bazy, więc odpowiednio spreparowany tekst potrafi odczytać lub skasować jej zawartość. Obrona jest znana od lat i polega na zapytaniach parametryzowanych.
• XSS. Do treści strony trafia cudzy skrypt, który wykonuje się w przeglądarce innego użytkownika - na przykład po to, żeby przejąć jego sesję. Chroni przed tym konsekwentne kodowanie wszystkiego, co pochodzi od użytkownika.
• Nieaktualne komponenty. Najczęstsza przyczyna włamań na strony małych firm nie jest wyrafinowana: to wtyczka albo motyw z publicznie znaną luką, których nikt nie zaktualizował.

Co dostajesz po audycie

Sensowny audyt kończy się raportem, w którym każde znalezisko ma opis, ocenę wagi i konkretną rekomendację naprawy - uszeregowane od najpilniejszych. Sama lista podatności bez priorytetów jest mało użyteczna, bo nie wiadomo, od czego zacząć.

Po wdrożeniu poprawek warto wykonać retest, żeby potwierdzić, że problem faktycznie zniknął, a przy okazji nie pojawił się nowy.

Minimum, które możesz zrobić od razu

• Włącz automatyczne aktualizacje systemu i wtyczek albo ustal stały termin ich przeglądu.
• Wymuś HTTPS na całej witrynie, także na podstronach i formularzach.
• Zrób kopię zapasową poza serwerem strony i raz na jakiś czas sprawdź, że da się z niej odtworzyć witrynę.
• Usuń nieużywane wtyczki i konta administratorów, o których wszyscy zapomnieli.
• Włącz uwierzytelnianie dwuskładnikowe tam, gdzie logujesz się do panelu.