OWASP

OWASP (Open Web Application Security Project) est une organisation à but non lucratif qui publie la liste Top 10 des vulnérabilités Web et des guides de bonnes pratiques ; c'est une autorité en sécurité Web.

Objectif

Fournir connaissances, outils et standards open source pour la sécurité des applications Web, afin d'aider les développeurs à construire des applications sûres.

Mécanisme

L'OWASP Top 10 est mis à jour périodiquement avec les vulnérabilités Web les plus graves (injection, XSS, mauvaise configuration, etc.). Il publie aussi la série Cheat Sheet, l'ASVS (Application Security Verification Standard) et ZAP (outil scanner). Piloté par la communauté, sans but commercial.

Cas d’usage

Référence de développement sécurisé Web
Audit et évaluation de sécurité
Formation en sécurité
Mappage de conformité

Exemples

entrée

OWASP Top 10:2021

Output

A01 Broken Access Control etc.

10 vulnerability classes

Erreurs courantes

Checking only against the Top 10 while ignoring other vulnerabilities: Treat the Top 10 as a starting point; use ASVS for full assessment

Termes associés

XSS (cross-site scripting) est l'attaque où l'attaquant injecte des scripts malveillants dans une page qui s'exécutent dans le navigateur d'autres utilisateurs ; il existe sous formes stockée, réfléchie et basée DOM.

CSRF (cross-site request forgery) est une vulnérabilité où l'attaquant trompe un utilisateur connecté pour lui faire envoyer sans le savoir une requête malveillante au site ciblé.

L'injection SQL consiste pour un attaquant à insérer des fragments SQL malveillants dans une chaîne de requête afin que la base exécute des commandes non voulues.

CVE (Common Vulnerabilities and Exposures) est un système qui attribue des identifiants uniques (CVE-YYYY-NNNN) aux vulnérabilités de sécurité divulguées publiquement, maintenu par le MITRE.

CVSS (Common Vulnerability Scoring System) est un système de notation standardisé de la gravité des vulnérabilités ; il produit des scores de 0 à 10 et est maintenu par FIRST.

References