OWASP Top 10 bez żargonu

Czym jest ta lista

OWASP to niekomercyjna organizacja zajmująca się bezpieczeństwem aplikacji. Publikowana przez nią lista Top 10 zbiera najczęstsze kategorie podatności w aplikacjach webowych i jest dziś punktem odniesienia dla audytów na całym świecie.

Jej praktyczna wartość polega na tym, że zamiast szukać „czegokolwiek", sprawdza się po kolei najlepiej udokumentowane klasy błędów, te, które realnie prowadzą do włamań.

Cztery kategorie, które widuje się najczęściej

• Błędy kontroli dostępu. Użytkownik zmienia numer w adresie i widzi cudze dane albo wchodzi do panelu administratora, bo strona ukryła przycisk, ale nie zabezpieczyła samego adresu. Ukrycie elementu w interfejsie nigdy nie jest zabezpieczeniem.
• Wstrzyknięcia (SQL Injection). Dane z formularza trafiają wprost do zapytania do bazy, więc odpowiednio spreparowany tekst potrafi odczytać lub skasować jej zawartość. Obrona jest znana od lat i polega na zapytaniach parametryzowanych.
• XSS. Do treści strony trafia cudzy skrypt, który wykonuje się w przeglądarce innego użytkownika, na przykład po to, żeby przejąć jego sesję. Chroni przed tym konsekwentne kodowanie wszystkiego, co pochodzi od użytkownika.
• Nieaktualne komponenty. Najczęstsza przyczyna włamań na strony małych firm nie jest wyrafinowana: to wtyczka albo motyw z publicznie znaną luką, których nikt nie zaktualizował.

Co dostajesz po audycie

Sensowny audyt kończy się raportem, w którym każde znalezisko ma opis, ocenę wagi i konkretną rekomendację naprawy, uszeregowane od najpilniejszych. Sama lista podatności bez priorytetów jest mało użyteczna, bo nie wiadomo, od czego zacząć.

Po wdrożeniu poprawek warto wykonać retest, żeby potwierdzić, że problem faktycznie zniknął, a przy okazji nie pojawił się nowy.

Minimum, które możesz zrobić od razu

• Włącz automatyczne aktualizacje systemu i wtyczek albo ustal stały termin ich przeglądu.
• Wymuś HTTPS na całej witrynie, także na podstronach i formularzach.
• Zrób kopię zapasową poza serwerem strony i raz na jakiś czas sprawdź, że da się z niej odtworzyć witrynę.
• Usuń nieużywane wtyczki i konta administratorów, o których wszyscy zapomnieli.
• Włącz uwierzytelnianie dwuskładnikowe tam, gdzie logujesz się do panelu.