OWASP Top 10

🎯 Šta je OWASP?

OWASP (Open Web Application Security Project) je neprofitna organizacija koja se bavi bezbednošću veb aplikacija. Pruža besplatne materijale, alate i smernice za unapređenje bezbednosti softvera.

📊 Šta je OWASP Top 10?

To je lista 10 najkritičnijih bezbednosnih rizika za veb aplikacije, koja se redovno ažurira (obično svake 3-4 godine). Ovo nije lista najčešćih napada, već najopasnijih rizika sa najvećim potencijalnim uticajem.

🔍 Zašto je OWASP Top 10 BITAN?

1. Industrijski standard

   Prihvaćen širom sveta kao referenca za bezbednost veb aplikacija

   Korišćen od strane: developera, pentestera, kompanija, certifikacionih tela

2. Fokus na najveće pretnje

   Pomaže timovima da prioritetizuju svoje bezbednosne napore

   "80/20 pravilo" - rešavanjem ovih 10 rizika rešava se veliki deo problema

3. Edukativna uloga

   Pomaže developerima da razumeju česte greške u kodu

   Daje praktične smernice za prevenciju

4. Poslovna zaštita

   Smanjuje rizik od finansijskih gubitaka i gubitka reputacije

   Pomaže u usaglašavanju sa regulativama (GDPR, PCI-DSS itd.)

A01:2021 – Broken Access Control (Neispravna kontrola pristupa): Napadači mogu pristupati podacima ili funkcijama koje nisu smele biti dostupne zbog loše kontrole pristupa.

A02:2021 – Cryptographic Failures (Kriptografski propusti): Podaci su izloženi jer se koriste pogrešni, zastareli ili nepostojeći kriptografski mehanizmi.

A03:2021 – Injection (Injekcije): Aplikacija nesigurno obrađuje korisnički input, što omogućava SQL, OS, NoSQL ili druge vrste injekcionih napada.

A04:2021 – Insecure Design (Neispravan dizajn): Sam dizajn sistema nema adekvatne bezbednosne kontrole, pa je aplikacija ranjiva bez obzira na implementaciju.

A05:2021 – Security Misconfiguration (Pogrešna konfiguracija): Loša konfiguracija servera, aplikacija ili servisa (default lozinke, nepotrebne funkcije, otvoreni portovi).

A06:2021 – Vulnerable and Outdated Components (Ranljivi i zastareli komponenti): Korišćenje biblioteka i paketa sa poznatim ranjivostima ili bez ažuriranja.

A07:2021 – Identification and Authentication Failures (Greške u autentikaciji): Problemi u login procesima, slabe lozinke, tokeni i sesije koje se lako kompromituju.

A08:2021 – Software and Data Integrity Failures (Integritet softvera i podataka): Nepoverljivi update-i, kompromitovani paketi i manipulacija podacima zbog nedostatka verifikacije integriteta.

A09:2021 – Security Logging and Monitoring Failures (Greške u logovanju i nadzoru): Napadi prolaze neprimećeno jer sistem ne vodi kvalitetne logove ili nema adekvatan monitoring.

A10:2021 – Server-Side Request Forgery (SSRF): Napadač navodi server da šalje zahteve ka internim ili eksternim resursima koje ne bi smeo da kontaktira.