OWASP
OWASP (Open Web Application Security Project) ist eine gemeinnützige Organisation, die die Top-10-Liste der Web-Schwachstellen und Praxisleitfäden veröffentlicht; sie gilt als Autorität für Websicherheit.
Zweck
Open-Source-Wissen, -Werkzeuge und -Standards für Webapplikationssicherheit bereitstellen, damit Entwickler sichere Anwendungen bauen können.
Mechanismus
Die OWASP Top 10 werden regelmäßig mit den schwersten Web-Schwachstellen aktualisiert (Injection, XSS, Fehlkonfiguration usw.). Außerdem veröffentlicht OWASP die Cheat-Sheet-Serie, den ASVS (Application Security Verification Standard) und ZAP (Scanner-Werkzeug). Community-getrieben und kommerziell unabhängig.
Anwendungsfälle
- Referenz für sichere Webentwicklung
- Sicherheitsaudit und -bewertung
- Sicherheitsschulungen
- Compliance-Zuordnung
Beispiele
- Eingabe
OWASP Top 10:2021OutputA01 Broken Access Control etc.10 vulnerability classes
Häufige Fehler
- Checking only against the Top 10 while ignoring other vulnerabilities
- Treat the Top 10 as a starting point; use ASVS for full assessment
Verwandte Begriffe
XSS
XSS (Cross-Site Scripting) ist der Angriff, bei dem ein Angreifer bösartige Skripte in eine Seite einschleust, die im Browser anderer Nutzer ausgeführt werden; es gibt gespeicherte, reflektierte und DOM-basierte Formen. GLOSSAR
CSRF
CSRF (Cross-Site-Request-Forgery) ist eine Schwachstelle, bei der ein Angreifer einen angemeldeten Nutzer dazu verleitet, unwissentlich eine bösartige Anfrage an die Zielseite zu senden. GLOSSAR
SQL Injection
SQL-Injection bedeutet, dass Angreifer bösartige SQL-Fragmente in einen Abfragestring einfügen, sodass die Datenbank unerwünschte Befehle ausführt. GLOSSAR
CVE
CVE (Common Vulnerabilities and Exposures) ist ein System, das öffentlich bekannt gemachten Sicherheitslücken eindeutige Bezeichner (CVE-YYYY-NNNN) zuweist und von MITRE gepflegt wird. GLOSSAR
CVSS
CVSS (Common Vulnerability Scoring System) ist ein standardisiertes Bewertungssystem für den Schweregrad von Schwachstellen; es liefert Scores von 0 bis 10 und wird von FIRST gepflegt. GLOSSAR