OWASP Top 10?? ??????
??
?? ? ?????? ?? ????(OWASP)? ????? ?? ??? ??? ?? ?? ?? ?????? ?? ???????. OWASP Top 10? ???? ???? ???? ??????? ??? ??? ? ??? ?? ??? ?????? ?? ??? ??? ?? ?? ????????.
?? ??? ???? ???? ?? ??? ??? ??? ???? ?? OWASP ?? 10? ??? ????? ?????. 2021?? ??? ?? ??? OWASP Top 10??? ? ?? ??? ??? ?? ?? ?? ??? ??? ??? ??? ??? ???? ?? ?? ??? ???? ???????.
?? ?? ??? ??? ? ??? 2021? OWASP ?? 10? ?? ?? ??? ??? OWASP ?? 10?? ?????? ??? ????? ?? ????, ?? ?? ??? ????? ? ???. ????? ???? ????? ???? ?? ?? ?? ??? ?? ????? ???? ???. ?, IT ?? ???? ?? ????? ?????? ???? '????' ???? ??? ???? ???.
OWASP ?? 10?
OWASP ?? 10?(2021) ????? ??????
A1: ??
??? ? ?? ??? ??? ?????? ??? ??? ??? ??? ??? ? ????. ???? ??? ??? ?? SQL, LDAP, XPath ?? NoSQL ?? ?????? ???? ?? ? ?? ?????. ???? ??? ??? ??? ???? ?? ?????? ?? ?? ??? ????? ???.
??????? ??? ??? ??? ??? ??????
- ???? ??? ???? ???? ??? ???? ?? ??.
- ?? ??? ??? ?? ?? ?? ?? ?????.
- ??? ??? ???? ??? ?? ???? ???? ???.
?? ??? ??? ??? ??????
- ?????? ?? ?? ???? ??.
- ??? ???? ??.
- ???, ?? ?? ?? ??.
??? ??? ?? Fortify ??? ??? ? ? ????
- ???? ??: Fortify ?? ??? ??? ???? ??? ?? ??? ?????.
- QA ?? ???? ?? ??: Fortify ???? ??? ???? ???? ??? ?????.
- ?? ?? ??: Fortify ? Java ? .NET ??? ??? ?? ??? ?? ? ?? ??? ?????.
A2: ?? ??
????? ???????? ID ?? ?? ???? ??? ? ??? ?? ? ????. ??, ???? ??, API ??? ???? ?? ?? ??, ??? ?? ?? ?? ??? ??? ??? ? ????. ???? ???? ???? ??? ???? ??? ???? ???, ???? ?? ???? ??????.
??????? ?? ??? ??? ??? ??????
- ?? ID? ?????, ??? ????? ???, ???? ????.
- ???? ??? NIST 800-63B? ?? ??? ??? ????.
- 2?? ??(2FA)? ??? ???? ??? ?????.
??? ??? ?? ??? ????
- ??? ?? ??.
- ??? ?? ??.
- ??? ???? ??.
Fortify ??? ???????
- ???? ??: Fortify ?? ??? ?? ??? ???? ??? ?????.
- QA ?? ???? ?? ??: Fortify ?? ? ?? ?? ??? ???? ?????.
- ?? ?? ??: Fortify ?? Java ? .NET ?????? ???? ?? ??? ????? ?????.
A3: ??? ??? ??
??????? ????? ?? ???, ?? ?? ?? ??(PII) ? ?? ?? ?? ??? ??? ???? ? ??? ??? ?? ??? ??? ? ????. ??? ???????? ??? ??? ???? ????? ?? ?? ????? ?? ?????? ??? ?? ??? ???? ?? ??? ?? ? ????. ???? ??? ??? ???? ????? ????? ??? ? ?? ??? ?? ???.
??????? ??? ??? ??? ??? ??? ??????
- HTTP, SMTP, FTP? ?? ????? ?? ?? ???? ???? ?????.
- ??? ???? ????? ?? ???? ??, ?? ?? ???? ??.
- ?????? ????? ??? ?? ??? ???? ??.
??? ??? ??? ??? ??????
- ?? ?? ???(?: HIPAA ?? GDPR)? ??? ?? ??? ???? ??.
- ?? ???? ?? ???? ??????? ?????? ? ??? ?????.
- ???? ??? ? ??? ???? ?? ?????.
??? ??? ??? ?? Fortify ?? ??? ?? ? ????
- ???? ??: Fortify ??? ??? ??? ???? ?? ??? ??????.
- QA ?? ???? ?? ??: Fortify ???? ???? ?????? ???? ???? ??? ??? ?????.
- ?? ?? ??: Fortify Java ? .NET? ??????? ?? ?? ? ?? ??? ?????.
A4: XML ?? ???
XML ?? ??? ??? ?? ???? ?? ??? ??? XML ??? ?? ??? ??? ?? ??? ? ??? ? ????. ??? ? ?? ???? XML ??? ?? ???? ??????, ?? ?? ??(DTD)? ???? ?? ?? SOAP 1.0? ?? ???? ?? ?????? ???? ???????? ?? ??? ?? ?????. XML? SVG ? ??? ???? ???? ????, PDF ? RSS? ?? ?? ??? ????? ???? ?????. ???? XML ???? ?? ???? ???? ????? ???? ???? ????? ???? ??? ????? ???? ???? ??? ????.
??????? XML ?? ???? ??? ??? ??????
- ??????? XML ??? ?? ???? ????? DTD? ????? ????.
- SSO, v1.2 ?? SOAP ?? v2.0 ?? .NET Framework? SAML? ?????.
- ?? ???? ??? ? ?? ??? ????? ??? ? ?? XML ???? ?????.
XML ?? ???? ??? ??????
- ??? ??? ??.
- ???? ???? URL ??.
- ??? ?? ??(DoS).
Fortify XML ?? ???? ?? ??? ? ? ????
- ???? ??: Fortify ?? ??? XML ??? ???? ?? ??? ?????.
- QA ?? ???? ?? ??: Fortify ??? XML ??? ???? ???? ????? ????? ?????.
- ?? ?? ??: Fortify ?? Java ? .NET ??????? ??? ?? ??? ?? ? ?? ??? ?????.
A5: ??? ?? ??
?? ?? ??? ?? ? ?? ??? ????? ???? ??? ??? ?? ?? ?? ???? ?? ? ??? ? ????. ??? ???? ?? ?? ??? ?? ???? ?? ??? ???? ??????? ?? ??? ???? ??? ??? ?? ??? ??? ???? ??? ?? ?? ?????. ???? ??? ??? ???? ??? ???? ???? ??? ??? ? ????.
??????? ??? ??? ??? ??? ??? ??????
- ????? ?? ???? ????? ???? ???? ???? ???? ??? ? ????.
- ???? ?? ?? ??? ?? ????? ?? ??? ???? ??.
- ???, ???? ??? ??? ?? ??? ?? ??.
??? ??? ???? ?? ??? ????
- ?? ?? ?? ?? ??? ???? ??.
- ??? ?? ?? ??.
- ??? ?? ?? ??? ????.
??? ??? ??? ?? Fortify ??? ??? ?? ? ????
- ???? ??: Fortify ??? ????? ???? ???? ?? ??? ??? ??? ??? ? ????.
- QA ? ??? ???? ??: Fortify ????? ??? ?? ??? ??? ??? ?? ???? ?????.
- ?? ?? ??: Fortify Java ? .NET ??????? ?? ??? ??? ?? ??? ?????.
A6: ?? ?? ??
?????? ?? ?? ??? ???? ?? ?? ?? ??? ??? ? ????. ??? ??? ???? ??? ? ?????? ???? ???? ? ????? ????? ?????? ??? ?? ???? ??? ? ????. ?? ?? ? ??, "??" ?? ???, ???? ?? ????? ? ????? ?? ?????. ???? ?? ??? ?? ?? ?? ???? ????? ??? ??? ? ????.
??????? ?? ?? ??? ??? ??? ??????
- ????? ???? ?? ?? ? ?? ?? ???? ?? ????.
- ?? ? ?? ?? ? ?? ?? ?? ?? ???? ?????.
- ??? ???? ???? ??? ?? ??? ???? ???? ????.
?? ??? ???? ?? ??? ????
??? ?? ???? ??? ?? ???? ?????.
?? ?? ??? ?? Fortify ??? ??? ?? ? ????
- ???? ??: Fortify ???? ?? ?????? ??? ? ?? ??? ?????.
- QA ? ???? ?? ??: Fortify ?????? ? ?? ??? ??? ??? ???? ?????.
- ???? ?? ??: Fortify ?? ??? ?? ??? ?? ?? ?? ??? ?????.
A7: ??? ? ????
??? ? ?? ?? ???? ?? ??? ??? HTML? ??? ????? ???? ?? ??? ?? ????? ??? ?? ? ?? ?? ??? ??? ????(XSS) ??? ??? ? ????. ??????? ???? ?? ??? ??? ?? ??? ??? ? ?? ???? ????? ??? ?? ??? ????? ??? ? ??? ???? ??? ?? ????. ???? ??? ????? ?? ?? ??? ????? ?? ??? ???? ???? ????? ???? ??? ? ????.
??????? ??? ??? ????(XSS)? ??? ??? ??????
????? ????? ?? ??? ????? ???? ?? ? ?? ??? XSS? ????:
- ??? XSS: ?????? ?? API? HTML ??? ??? ? ?? ??? ?????.
- ??? XSS: ???? ??? ???? ?? ??? ??? ??? ??? ?? ??????.
- DOM XSS: ??? ? ?? ??? ???? ??????, ????? ? API.
??? ??? ????(XSS)? ??? ??????
- ???????? ???? ??? ?????.
- ?? ? ???????? ??? ??.
- ???? ??? ??.
??? ??? ????(XSS)? ?? Fortify ? ??? ??? ?? ? ????
- ???? ??: Fortify ???? XSS ???? ???? ????? ???? ?????.
- QA ? ?? ??? ???? ??: Fortify XSS? ??? ???? ??? ?? ???? ??? ???? ?????.
- ?? ?? ??: Fortify ?? ????? ??? Java ? .NET ???? ?? ??? ?????.
A8: ???? ?? ????
???? ?? ???? ??? ??? ?????? ??? ? ?? ???? ???? ??? ??? ? ??? ???? ??, ?? ? ??????? ???? ????? ?????? ??? ??? ? ??? ? ????. ???? ???? ???? ?? ?? ??? ? ?? ???? ??? ??? ?? ?? ??? ?? ????. ???? ?????? ?? ???? ???? ??? "?? ??"? ???? ???? ??? ????? ???? ????? ?? ???? ????.
??????? ???? ?? ????? ??? ??? ??????
- ??????? ??? ? ?? ??? ???? ???????.
- ??????? ?????? ?? ??? ???? ???? ????.
- ???? ?? ??? ???? ?? ???? ???? ??????? ???? ????.
???? ?? ????? ??? ??????
- ??? ??? ?? ??? ?? ? ??? ?? ?? ?? ???? ??? ? ????.
???? ?? ????? ?? Fortify ??? ??? ? ? ????
- ???? ??: Fortify ?? ??? ???? ???? ?? ?? ??? ?????.
- QA ? ??? ???? ??: Fortify ???? ???? ??????? ???? ?? ??? ?????.
- ?? ?? ??: Fortify ????? ??? Java ? .NET ???? ?? ??? ?????.
A9: ??? ???? ?? ?? ?? ??
??? ??? ?? ?? ?? ?? ?????? ?????? ??????? ???? ??? ???? ??? ? ??? ? ????. ?? ?? ?? ??? ?? ???? ??? ??? ?? ??? ???? ?? ?? ?? ???? ???? ???? ???? ??? ?? ????. ????? ??? ?? ??? ???? ??? ?? ? ??? ?? ??? ?????, ???? ?????? ???? ?? ?? ??? ????? ?????.
??????? ?? ?? ?? ?? ????? ? ?????? ??? ??? ??????
- ?? ???(?: ?? ??)??? ???(?: ???? ????)? ? ????.
- ?????? ?? ??? ???? ???? ??? ?? ??? ?????( ???? ?? ? ??).
- ?? ?? ?? ??? ????? ???? ???? ????.
- ??? ? ?? ?? ?? ???? ?? ??? ?? ???.
??? ???? ?? ????? ???? ?? ??? ????
??? ??? ? ??? ??? ??? ????, ????? ? ???? ?? ??? ??? ?? ??? ?? ?? ??? ??? ???? ???? ? ??????. ??? ?? ???? ?? ????? ???? ??? ?? ???? ?? ??? ???? ???? ???? ??? ??? ? ????.
Fortify ???? ??? ?? ??? ? ? ????
- ???? ??: Fortify ???? ??? ?? ????? ?? ?? ??? ?????.
- QA ? ??? ???? ??: Fortify ??? ? ??? ???? ?? ?? ??? ??? ??????.
- ???? ?? ??: Fortify Java ? .NET ?????? ?? ??? ?? ?? ? ?? ??? ?????.
A10: ???? ?? ? ????
???? ?? ? ???? ??? ?? ??? ??????? ??? ??? ? ???? ???? ?? ??? ?? ???? ?? ??? ??? ?? ? ??? ? ????. ?? ??? ?? ??? ???, ?????? ?? ??? ??? ???? ??? ??? ???? ??? ??? ???? ? ??? ?? ??? ???? ?? ??? ?? ?? ?????. ???? ????? ???? ???? ??? ?? 200? ??? ??? ?? ???? ???? ??? ???? ??? ?????.
??????? ???? ?? ? ????? ??? ??? ??????
- ?? ? ??? ?? ???? ??? ?????? ???? ???? ?????.
- ??? ?? ?? ?? ??? ????? ?????? ????.
- ?? ??? ? ?? ????? ?????? ??? ??? ??? ????.
???? ?? ? ????? ??? ??? ??????
???? ???? ??? ??? ???? ?????. ??? ???? ?? ???? ?? ?? ???? ??? ? ????. ???? ???? ???? ??????? ?? ??? ????? ???? ???? ?? ???? ?? ?? ?? ???? ???? ??? ? ????. ??? ??? ??? ???? ????? ???? ??? ??? ??? ?? ??? ??? ?? ? ?? ??? ?? ????. ???? ?? ??? ?? ??? ?? ??? ??? ??? ???? ?? ? ?????? ????? ? ????.
???? ?? ? ????? ?? Fortify ?? ??? ?? ? ????
- ???? ??: Fortify ?????? ? API? ?? ??? ???? ??? ?????.
- QA ? ???? ?? ??: Fortify ?? ??? ? ???? ?? ??? ??? ?? ?????? ??? ?????.
- ???? ?? ??: Fortify Java ? .NET ??????? ?? ?? ?? ? ?? ??? ?????.
OWASP(2021)? ??? ??? ??????
2017? ??? ? 10? ??? ?? 4?? ????, ??? ?? ???? ?? ??? ??? ??? ??? ???? ??? ??? ???? ?? ?? ???? ?????.
? ?? ??? ????? ???????:
A04:2021
???? ?? ???: ? ??? ?? ??? ??? ???. ???? ???? ????? ?? ?????? ???? ???? ?? ??? ? ????? ?????.
A08:2021
????? ? ??? ??? ??: ????? ????, ?? ??? ? CI/CD ?????? ??? ?? ? ?? ???? ???? ?? ??? ??? ????. ???? A08:2017 - ???? ?? ????? ?????.
A10:2021
?? ? ?? ??(SSRF): ? ????? ???? ?????? ??? ?? 10? ?? ?????. ?? ??? ?? ???? ??? ??? ? ???? ??????.
?? ?? ??
?? ????? ??? ?????? ??? ?????? ?? ????? ???????:
- A01:2017 - ??? A:03?? ?? ???????.
- A02:2017 - ?? ??? ?? ?? ? ?? ??? ??? ???? A07? ??????.
- A03:2017 - ??? ??? ??? ??? ??? ?? ??? ?? ???? ???? ?? ??? ??? ??? ??? A02? ?? ???????.
- A05:2017 - ???? ??????? 94%? ?? ???? ??? ??? ??? ??? ??? ???? ??? ??? ??? ??? A01? ??????.
- A06:2017 - ?? ?? ??? A05? ? ?? ?? ???????.
- A07:2017 - ??? ??? ????(XSS)? A03 ????? ???????.
- A09:2017 - ??? ???? ?? ?? ?? ??? A06?? ?? ?????? ???? ??? ?? ??? ??? ???????. ? ??? ?????? ? ??? 2??? ??? ?? ? ??? ?????.
- A10:2017 - ???? ?? ? ????? A09? ?????, ?? ?? ?? ? ???? ???? ????.
Fortify ? ??? ?? ??? ? ? ??? ?? ?????? ?????.
