Curs de pregatire OWASP Top 10 2025

A01:2025 - Broken Access Control
A02:2025 - Security Misconfiguration
A03:2025 - Software Supply Chain Failures
A04:2025 - Cryptographic Failures
A05:2025 - Injection
A06:2025 - Insecure Design
A07:2025 - Authentication Failures
A08:2025 - Software or Data Integrity Failures
A09:2025 - Security Logging and Alerting Failures
A10:2025 - Mishandling of Exceptional Conditions

A01:2025 Broken Access Control - Controlul accesului impune o politică astfel încât utilizatorii nu pot acționa dincolo de permisiunile lor intenționate. Eșecurile duc de obicei la divulgare, modificare sau distrugere neautorizată a datelor, sau la executarea unor funcții de business în afara limitelor utilizatorului.

A02:2025 Security Misconfiguration - Security Misconfiguration se referă la configurarea incorectă, din punct de vedere al securității, a unui sistem, a unei aplicații sau a unui serviciu cloud, creând astfel vulnerabilități.

A03:2025 Software Supply Chain Failures - Software Supply Chain Failures reprezintă defecțiuni sau alte compromisuri în procesul de construcție, distribuire sau actualizare a software-ului. Adesea, acestea sunt cauzate de vulnerabilități sau modificări malțrenoase în codul, instrumentele sau alte dependențe de la terți pe care se bazează sistemul.

A04:2025 Cryptographic Failures - În general, toate datele în tranzit ar trebui criptate la nivelul stratului de transport (stratul 4 OSI). Obstaclele anterioare, precum performanța CPU-ului și gestionarea cheilor private/certificatelor, sunt acum gestionate de CPU-uri care au instrucțiuni concepute pentru a accelera criptarea (de exemplu: suport AES) și de simplificarea gestionării cheilor private și a certificatelor prin servicii precum LetsEncrypt.org, iar majoritatea vendor-ilor cloud oferă servicii de gestionare a certificatelor integrat mai strâns pentru platformele lor specifice. În plus față de securizarea stratului de transport, este important să determinăm ce date necesită criptare la repaus (at rest) și ce date necesită criptare suplimentară în tranzit (la stratul de aplicație, stratul 7 OSI). De exemplu, parolele, numerele de card de credit, înregistrările de sănătate, informațiile personale și secretele de afaceri necesită protecție suplimentară, mai ales dacă acele date intră sub incidența legilor privind confidențialitatea, de exemplu Regulamentul General al Uniunii Europene privind Protecția Datelor (GDPR), sau a reglementărilor precum PCI Data Security Standard (PCI DSS).

A05:2025 Injection - O vulnerabilitate de tip injection este un defect al sistemului care permite unui atacator să insereze cod sau comenzi malțrenoase (precum cod SQL sau shell) în câmpurile de intrare ale unui program, păcălind sistemul să execute codul sau comenzile ca și cum ar fi parte a sistemului. Acest lucru poate duce la consecințe cu adevărat grave.

A06:2025 Insecure Design - Insecure Design este o categorie largă care reprezintă diferite slăbiciuni, exprimate ca „lipsa sau ineficacitatea designului controlului”. Insecure Design nu este sursa tuturor celorlalte categorii de risc Top Ten. Reține că există o diferență între insecure design și insecure implementation. Distingem între defecte de design și defecte de implementare pentru un motiv anume: ele au cauze radicare diferite, apar în momente diferite în procesul de dezvoltare și au remedieri diferite. Un design securizat poate totuși avea defecte de implementare care duc la vulnerabilități care pot fi exploatate. Un design nesecurizat nu poate fi reparat printr-o implementare perfectă, deoarece controalele de securitate necesare nu au fost niciodată create pentru a se apăra împotriva atacurilor specifice. Unul dintre factorii care contribuie la insecure design este lipsa profilării riscurilor de business inerente software-ului sau sistemului dezvoltat, și, prin urmare, eșecul de a determina ce nivel de design de securitate este necesar.

A07:2025 Authentication Failures - Când un atacator reușește să păcălească un sistem să recunoască un utilizator invalid sau incorect ca fiind legitim, această vulnerabilitate este prezentă.

A08:2025 Software or Data Integrity Failures - Eșecurile de integritate ale software-ului sau datelor se referă la codul și infrastructura care nu se protejează împotriva codului sau datelor invalide sau nefiabile tratate ca fiind de încredere și valide. Un exemplu de acest fel este când o aplicație se bazează pe plugin-uri, biblioteci sau module din surse nefiabile, repository-uri și rețele de distribuție a conținutului (CDN). O pipeline CI/CD nesecurizat care nu consumă și nu oferă verificări de integritate a software-ului poate introduce potențialul pentru acces neautorizat, cod nesecurizat sau malțrenos sau compromisarea sistemului. Un alt exemplu pentru acest lucru este o pipeline CI/CD care extrage cod sau artefacte din locuri nefiabile și/sau nu le verifică înainte de utilizare (prin verificarea semnăturii sau a unui mecanism similar).

A09:2025 Security Logging & Alerting Failures - Fără logging și monitoring, atacurile și încălcările nu pot fi detectate, iar fără alerting este foarte dificil să răspunzi rapid și eficient în timpul unui incident de securitate. Logging insuficient, monitoring continuu, detecție și alerting pentru inițierea răspunsurilor active apar ori de câte ori

A10:2025 Mishandling of Exceptional Conditions - Gestionarea incorectă a condițiilor excepționale în software apare atunci când programele nu reușesc să prevină, să detecteze și să răspundă la situații neobișnuite și neprevăzute, ceea ce duce la crăpări (crash-uri), comportament neașteptat și uneori vulnerabilități. Aceasta poate implica una sau mai multe dintre următoarele 3 deficiențe; aplicația nu previne ca o situație neobișnuită să aibă loc, nu identifică situația pe măsură ce se întâmplă și/sau răspunde prost sau deloc la situație ulterior.

Vom discuta și prezenta aspecte practice ale:

Broken Access Control
- Exemple practice de control acces defectuos
- Controale de acces securizate și best practices

Security Misconfiguration
- Exemple din realitatea de zi cu zi de misconfigurări
- Pași pentru prevenirea misconfigurării, inclusiv instrumente de gestionare a configurării și automatizare

Cryptographic Failures
- Analiză detaliată a eșecurilor criptografice, precum algoritmi de criptare slabi sau gestionare incorectă a cheilor
- Importanța mecanismelor criptografice solide, protocoale securizate (SSL/TLS) și exemple de criptografie modernă în securitatea web

Injection Attacks
- Defalcare detaliată a injectării SQL, NoSQL, OS și LDAP
- Tehnici de mitigare folosind enunțuri pregătite, interogări parametrizate și escaping al intrărilor

Insecure Design
- Vom explora defectele de design care pot duce la vulnerabilități, precum validarea incorectă a intrărilor
- Vom studia strategii pentru arhitectura securizată și principiile de design securizat

Authentication Failures
- Probleme comune de autentificare
- Strategii de autentificare securizate, precum autentificarea multifactor și gestionarea corespunzătoare a sesiunilor

Software and Data Integrity Failures
- Focus pe probleme precum actualizări de software nefiabile și manipularea datelor
- Mecanisme sigure de actualizare și verificări de integritate a datelor

Security Logging and Monitoring Failures
- Importanța logării informațiilor relevante pentru securitate și monitoring pentru activități suspecte
- Instrumente și practici pentru logging corect și monitoring în timp real pentru a detecta încălcările devreme