OWASP Top-10 простыми словами: 10 главных рисков веб-приложений
KEMEL.TECH · Обновлено
OWASP Top-10 — это список десяти самых частых и опасных рисков веб-приложений, который ведёт международное сообщество OWASP. Редакция 2021 года: нарушение контроля доступа, сбои криптографии, инъекции, небезопасный дизайн, ошибки конфигурации, устаревшие компоненты, ошибки аутентификации, нарушение целостности данных и ПО, недостатки журналирования и мониторинга, SSRF. По этому списку проводится большая часть веб-пентестов.
10 рисков редакции 2021
- A01 Нарушение контроля доступа: пользователь видит чужие данные (например, IDOR).
- A02 Сбои криптографии: данные передаются или хранятся без надёжной защиты.
- A03 Инъекции: SQL-инъекции, XSS и другие, когда ввод пользователя выполняется как код.
- A04 Небезопасный дизайн: ошибки в самой логике системы.
- A05 Ошибки конфигурации: открытые панели, пароли по умолчанию, лишние сервисы.
- A06 Уязвимые и устаревшие компоненты: библиотеки с известными дырами.
- A07 Ошибки идентификации и аутентификации: слабые пароли, ошибки в JWT и сессиях.
- A08 Нарушение целостности данных и ПО: непроверенные обновления и зависимости.
- A09 Недостатки журналирования и мониторинга: атаку не заметят вовремя.
- A10 SSRF: сервер заставляют обращаться к внутренним ресурсам.
Как это связано с пентестом
При пентесте специалисты проверяют приложение на эти классы проблем вручную и подтверждают находки. Каждой присваивается уровень CVSS, от которого зависит срочность исправления и цена в KEMEL.TECH.
Частые вопросы
- Достаточно ли закрыть OWASP Top-10?
- Нет. Это базовый минимум. Бизнес-логика, API, мобильные приложения и внешний периметр проверяются отдельно.
- Как проверить свой сайт?
- Начать можно с экспресс-скана сайта на странице /scan, а полноценную проверку проводит пентест.