OWASP Top 10 pro MSP: praktický kontrolní seznam bezpečnosti webu

Co to je?

Top 10 je osvětový dokument, který týmům pomáhá soustředit se na nejběžnější rizika webových aplikací. Každá kategorie sdružuje související slabiny. Aktuální vydání 2025, které nahradilo seznam z roku 2021, zahrnuje: nefunkční řízení přístupu (nově zahrnuje i server-side request forgery); chybnou bezpečnostní konfiguraci; selhání softwarového dodavatelského řetězce; kryptografická selhání; injekce; nezabezpečený návrh; selhání autentizace; selhání integrity softwaru nebo dat; selhání logování a upozorňování; a chybné zpracování výjimečných stavů. Mnoho dotazníků a smluv stále odkazuje na vydání 2021, proto si při stanovování požadavků ověřte, kterou verzi zákazník nebo partner očekává. Pro malý či střední podnik nespočívá hodnota v memorování seznamu, ale spíše v jeho využití jako kontrolního seznamu otázek: kdo vidí co, jak se zachází s hesly a relacemi, které komponenty jsou zastaralé a zda by si někdo všiml probíhajícího útoku.

Pro koho to je?

Tento kontrolní seznam je určen pro:

• Malé a střední podniky, které provozují webovou aplikaci, portál nebo internetový obchod pro zákazníky
• Zakladatele a manažery, kteří zadávají vývoj agentuře nebo freelancerovi a potřebují klást informované otázky
• Malé interní týmy bez specializované bezpečnostní role
• Firmy, které se připravují na bezpečnostní dotazník zákazníka odkazující na OWASP

Co to pomůže objasnit

Projití jednotlivých kategorií pomáhá ujasnit:

• Zda uživatelé vidí a mohou měnit pouze data, která jim jejich role povoluje
• Které knihovny, pluginy a frameworky třetích stran jsou zastaralé nebo neudržované
• Zda konfigurace, tajné údaje a chybová hlášení neodhalují víc, než by měly
• Zda by vám logování umožnilo zaznamenat a prošetřit podezřelou aktivitu

Co je zahrnuto

• Řízení přístupu: otestujte, že uživatel nemůže zobrazit ani upravit záznamy jiného zákazníka změnou ID v URL nebo v požadavku, a omezte, které interní či externí adresy lze aplikaci přimět volat
• Kryptografie: ověřte HTTPS všude, moderní TLS a ukládání hesel pomocí silného hashovacího algoritmu
• Injekce: zkontrolujte, že vstupy jsou validovány a databázové dotazy parametrizovány
• Návrh: zdokumentujte, jak se mají chovat citlivé procesy, jako je obnova hesla, platby a vracení peněz zákazníkům, včetně scénářů zneužití
• Chybná konfigurace: odstraňte výchozí účty, vypněte ladicí výstupy a zkontrolujte bezpečnostní hlavičky
• Dodavatelský řetězec: veďte soupis knihoven, pluginů a nástrojů pro sestavení, záplatujte podle stanoveného plánu a odstraňujte neudržované komponenty
• Autentizace: nabídněte vícefaktorové ověření pro administrátory a omezte opakované pokusy o přihlášení
• Integrita: chraňte sestavovací a nasazovací pipeline a ověřujte, že aktualizace pocházejí z důvěryhodných zdrojů
• Logování a upozorňování: zaznamenávejte přihlášení, změny oprávnění a administrátorské akce a zajistěte, aby upozornění dorazila k někomu, kdo je vyhodnocuje
• Výjimečné stavy: zajistěte, aby chyby, vypršení časových limitů a neočekávané vstupy selhávaly bezpečně, bez odhalení výpisů zásobníku nebo vynechání bezpečnostních kontrol

Co není součástí

• Prohlášení, že řešení Top 10 činí aplikaci bezpečnou; je to užitečný výchozí bod pro širší pokrytí
• Certifikace nebo formální schválení souladu
• Postupy zneužití krok za krokem
• Pokrytí rizik mimo webové aplikace, například interních sítí nebo fyzické bezpečnosti

Kdy si ji vybrat

Kontrolní seznam použijte při plánování nových funkcí, při zapojení dodavatele vývoje a před spuštěním nebo větším vydáním. Pokud na několik otázek zní odpověď „nevíme“, je to signál, abyste si objednali nezávislou revizi, místo abyste spoléhali na předpoklady. Pokud zákazník nebo partner žádá doklad o testování v souladu s OWASP, zdokumentovaná bezpečnostní revize aplikace nebo penetrační test bude obvykle přesvědčivější než sebehodnocení.

Náš přístup

Začněte řízením přístupu a autentizací, protože právě tam se v podnikových aplikacích často objevují vážné problémy. Požádejte své vývojáře nebo dodavatele, aby vám ukázali, jak je každá role vynucována na serveru, a ne jen skryta v rozhraní. Poté sepište komponenty a dohodněte rutinu aktualizací. Zajistěte, aby tajné údaje nebyly uloženy v repozitářích kódu a aby chybové stránky neodhalovaly výpisy zásobníku. Pro nezávislý pohled naše služba Application Security Review prověřuje dohodnuté webové aplikace a API z hlediska běžných aplikačních rizik včetně kategorií OWASP a dodává nálezy odstupňované podle závažnosti s doporučeními k nápravě. Pokud se vaše obava týká hlavně webu postaveného na CMS, může být přiměřenějším krokem zpevnění zabezpečení webu. Ať zvolíte cokoli, začleňte kontrolní seznam do procesu vydávání, aby byla každá změna posouzena podle něj, místo abyste bezpečnost brali jako jednorázovou událost před spuštěním.

Application Security Review

Často kladené otázky

Související články