OWASP

OWASP (Open Web Application Security Project) es una organización sin ánimo de lucro que publica la lista Top 10 de vulnerabilidades web y guías de buenas prácticas; es una autoridad en seguridad web.

Propósito

Proporcionar conocimiento, herramientas y estándares de código abierto para la seguridad de aplicaciones web, ayudando a los desarrolladores a construir aplicaciones seguras.

Mecanismo

El OWASP Top 10 se actualiza periódicamente con las vulnerabilidades web más graves (inyección, XSS, mala configuración, etc.). También publica la serie Cheat Sheet, el ASVS (Application Security Verification Standard) y ZAP (herramienta de escaneo). Impulsada por la comunidad y sin fines comerciales.

Casos de uso

Referencia de desarrollo seguro web
Auditoría y evaluación de seguridad
Formación en seguridad
Mapeo de cumplimiento normativo

Ejemplos

entrada

OWASP Top 10:2021

Output

A01 Broken Access Control etc.

10 vulnerability classes

Errores comunes

Checking only against the Top 10 while ignoring other vulnerabilities: Treat the Top 10 as a starting point; use ASVS for full assessment

Términos relacionados

XSS (cross-site scripting) es el ataque donde el atacante inyecta scripts maliciosos en una página que se ejecutan en el navegador de otros usuarios; tiene formas almacenadas, reflejadas y basadas en DOM.

CSRF (cross-site request forgery) es una vulnerabilidad donde el atacante engaña a un usuario conectado para que envíe sin saberlo una petición maliciosa al sitio objetivo.

La inyección SQL consiste en que atacantes empalmen fragmentos SQL maliciosos en una cadena de consulta para que la base de datos ejecute comandos no deseados.

CVE (Common Vulnerabilities and Exposures) es un sistema que asigna identificadores únicos (CVE-YYYY-NNNN) a las vulnerabilidades de seguridad divulgadas públicamente, mantenido por MITRE.

CVSS (Common Vulnerability Scoring System) es un sistema de puntuación estandarizado de la gravedad de las vulnerabilidades; genera puntuaciones de 0 a 10 y lo mantiene FIRST.

References