OWASP Top 10 2021 - The List and How You Should Use It
Summary
TLDREl OWASP Top 10 es un estándar internacional de seguridad que enumera los principales riesgos para aplicaciones web. Actualizado en 2021, incluye cambios en la clasificación de riesgos y categorías nuevas. Este esfuerzo de la comunidad abarca proyectos de software de código abierto, capítulos locales y contribuciones de la industria. Los 10 riesgos principales son clasificados teniendo en cuenta la explotabilidad y el impacto técnico, y sirve como referencia mínima para código, revisión de código, herramientas y pruebas de penetración.
Takeaways
- 🌐 OWASP Top 10 es un estándar internacional de seguridad que ha evolucionado para ser utilizado por organizaciones en todo el mundo.
- 🚀 Iniciado en 2003, OWASP busca mejorar la seguridad de software, especialmente aplicaciones web.
- 📜 El OWASP Top 10 es un documento de conciencia que representa un amplio consenso sobre los riesgos de seguridad más críticos para aplicaciones web.
- 🥼 Casi todos los involucrados con OWASP son voluntarios y no está afiliado a ninguna empresa de tecnología, asegurando una información imparcial y costo-efectiva sobre seguridad de aplicaciones.
- 🔍 OWASP utiliza una comunidad de proyectos de software de código abierto, capítulos locales en todo el mundo y miles de miembros para compilar su lista de los 10 riesgos más grandes.
- 📊 Los datos y documentación se alimentan en un repositorio de GitHub gestionado por OWASP después de que el equipo central de Top 10 emita una llamada de datos.
- 🗓 La última actualización del OWASP Top 10 fue en 2017, con cambios en el orden de categorías, nombres de categoría y algunas categorías completamente nuevas.
- 🔥 "Ruptura de Control de Acceso" ha subido a la posición número uno en 2021, reemplazando las "Inyecciones" como la forma más popular de riesgo explotado por los ciberdelincuentes.
- 🔒 "Fallas Cifrográficas", anteriormente conocido como "Exposición de Datos Sensibles", se sitúa en el número dos, reflejando un nuevo enfoque en los fallos relacionados con la criptografía.
- 🆕 'Diseño Inseguro' es una categoría nueva para el OWASP Top 10 en 2021, que insta a los desarrolladores a incluir patrones y principios de seguridad en el diseño desde el principio.
- 🔄 'Vulnerabilidades y Componentes Obsoletos' se ha subido de posición, destacando la dificultad de probar pero la alta relevancia en las encuestas comunitarias.
Q & A
¿Qué es el OWASP Top 10 y por qué es importante?
-El OWASP Top 10 es un estándar internacional de seguridad que enumera los diez riesgos críticos más importantes para las aplicaciones web. Es importante porque ayuda a las organizaciones a identificar y abordar las amenazas de ciberseguridad más comunes y actuales, mejorando la protección de sus sistemas y datos.
¿Cuál es la diferencia entre OWASP y una empresa tecnológica comercial?
-OWASP (Open Web Application Security Project) es una organización sin fines de lucro compuesta principalmente por voluntarios y no está afiliada a ninguna empresa tecnológica. Esto garantiza que la información y los recursos proporcionados por OWASP sean imparciales y orientados a mejoras prácticas en la seguridad de aplicaciones web, a diferencia de las empresas comerciales que podrían tener presiones comerciales o intereses personales.
¿Cómo se crea la lista actualizada del OWASP Top 10?
-La lista actualizada del OWASP Top 10 se crea a través de un proceso comunitario que incluye la contribución de datos y documentación en un repositorio de GitHub, participación en encuestas, análisis de datos y revisión pública. Se utiliza un enfoque mixto que combina datos estadísticos con opiniones y experiencias de expertos en la seguridad.
¿Qué tipo de riesgos aborda la categoría 'Control de Acceso Roto'?
-La categoría 'Control de Acceso Roto' aborda el riesgo de que los atacantes evadan las medidas de autorización y actúen como si tuvieran privilegios, lo que les permite exponer, modificar o destruir datos, o realizar cualquier función de red.
¿Qué se entiende por 'Fallas Cifrográficas' en el OWASP Top 10?
-Las 'Fallas Cifrográficas', anteriormente conocidas como 'Exposición de Datos Sensibles', se refieren a las vulnerabilidades relacionadas con la implementación inadecuada de cifrado, lo que puede permitir a los atacantes interceptar o decodificar información confidencial durante su transmisión.
¿Qué representa la categoría 'Inyección' en el OWASP Top 10?
-La categoría 'Inyección' se refiere a la explotación de vulnerabilidades en programas informáticos mediante la introducción de código malicioso que altera la ejecución del programa. Un ejemplo sería inyectar código en una aplicación web para robar cookies de autenticación y utilizarlas en otros servicios en línea, simulando que el atacante es el usuario legítimo.
¿Qué es la categoría 'Diseño Inseguro' en el OWASP Top 10 y por qué es relevante?
-La categoría 'Diseño Inseguro' es una nueva inclusión en el OWASP Top 10 que enfatiza la importancia de incluir patrones y principios de seguridad en la concepción de aplicaciones desde el principio. Esto es especialmente relevante en el contexto de los ataques a la cadena de suministro, como el ataque a SolarWinds.
¿Qué se entiende por 'Configuración de Seguridad Inadeuada' en el OWASP Top 10?
-La 'Configuración de Seguridad Inadeuada' se refiere a la falta de implementación completa de controles de seguridad en un servidor o aplicación web, o la implementación incorrecta de dichos controles. Esta categoría abarca una amplia gama de errores humanos, desde la interpretación equivocada de la implementación hasta la falta de habilidades informáticas o errores de tiempo presionado.
¿Qué incluye la categoría 'Componentes Obsoletos y Vulnerables'?
-La categoría 'Componentes Obsoletos y Vulnerables' incluye sistemas operativos, servidores web o de aplicaciones, sistemas de gestión de bases de datos, APIs y todos los entornos de tiempo de ejecución y bibliotecas que son vulnerables, no admitidos o obsoletos. Un solo componente vulnerable puede ser suficiente para comprometer un sistema.
¿Qué ha cambiado la categoría 'Identificación y Autenticación Fallidas' en el OWASP Top 10?
-La categoría 'Identificación y Autenticación Fallidas', anteriormente conocida simplemente como 'Broken Authentication', ha cambiado de posición en el ranking, pasando del segundo al séptimo lugar. Esto indica que los marcos de autenticación estándar están teniendo un impacto positivo, con la implementación de procedimientos como la autenticación de múltiples factores (MFA) mejorando la seguridad.
¿Qué se aborda en la categoría 'Fallas de Integridad de Software y Datos'?
-La categoría 'Fallas de Integridad de Software y Datos' se centra en la falta de protección contra violaciones de integridad en el software y la infraestructura, incluyendo actualizaciones de software, datos críticos, tuberías CI/CD y la eliminación de 'Insecure Deserialization' de la lista de 2017.
¿Qué es 'Fallas en el Registro y Monitoreo de Seguridad' y por qué es importante?
-Las 'Fallas en el Registro y Monitoreo de Seguridad' abordan la implementación inadecuada de sistemas de registro y monitoreo, lo que puede afectar seriamente la capacidad de visibilidad y análisis forense en caso de una breach. Aunque es difícil de probar debido a la falta de representación en los datos CVE/CSS, es crucial para la detección y respuesta a incidentes de seguridad.
¿Qué se describe en la categoría 'Petición de Servidor Forgeada'?
-La 'Petición de Servidor Forgeada' es una nueva categoría que aborda el riesgo de que un atacante abuse de la funcionalidad de un servidor para acceder o manipular información que de otro modo no estaría disponible. Esta categoría se ha incluido debido a la fuerte retroalimentación de la comunidad de seguridad que señala su importancia, más allá de lo que los datos recopilados sugieren.
Outlines
🔒 Introducción a OWASP Top 10 y su importancia en la seguridad cibernética
Este párrafo introduce el OWASP Top 10 como un estándar internacional de seguridad que ha sido desarrollado por la Open Web Application Security Project (OWASP), una organización lanzada en 2003 para mejorar la seguridad de software, particularmente aplicaciones web. El documento de concienciación representa un consenso amplio sobre los riesgos de seguridad más críticos para las aplicaciones web. Aunque OWASP es una comunidad de voluntarios y no está afiliada a ninguna empresa de tecnología, su falta de presión comercial refuerza su afirmación de proporcionar información imparcial, práctica y costo-efectiva sobre seguridad de aplicaciones. El proceso de creación del OWASP Top 10 involucra la compilación de datos y documentación a través de proyectos de software de código abierto, capítulos locales en todo el mundo, decenas de miles de miembros y conferencias de formación, culminando en una lista de los 10 riesgos más importantes. La lista se actualizó por última vez en 2017 y se lanzó con cambios significativos en la categoría y el orden de los riesgos.
📈 Análisis detallado de las categorías del OWASP Top 10 en 2021
Este párrafo profundiza en el análisis de las categorías del OWASP Top 10 en su edición de 2021, destacando cambios en la clasificación y nombre de los riesgos. Se menciona que el control de acceso roto ha subido a la posición número uno, reemplazando la inyección, que se considera la forma más popular de riesgo explotado por los ciberdelincuentes. Además, se discuten categorías como Fallos Cripográficos, Inyección, Diseño Inseguro, Configuración Insegura, Componentes Obsoletos y Vulnerables, y Falencias en la Identificación y Autenticación, entre otros. Cada categoría se explica con detalle, resaltando su relevancia y cómo pueden ser explotadas para comprometer la seguridad de los sistemas. Finalmente, se menciona que el OWASP Top 10 es una lista de referencia mínima para la codificación, revisiones de código, revisión entre pares, soporte de herramientas y pruebas de penetración, y se enfatiza la importancia de estar al tanto de los hallazgos de OWASP para protegerse contra los riesgos cibernéticos reales.
Mindmap
Keywords
💡OWASP Top 10
💡Control de Acceso Roto
💡Fallas Criptográficas
💡Inyección
💡Diseño Inseguro
💡Configuración de Seguridad Inadecuada
💡Componentes Vulnerables y Desactualizados
💡Fallos de Identificación y Autenticación
💡Integridad de Software y Datos
💡Falsificación de Petición en el Lado del Servidor
Highlights
OWASP Top 10 is an international security standard used globally.
Despite using OWASP, organizations still fall victim to cyberattacks.
OWASP was launched in 2003 to enhance software security, especially web applications.
OWASP Top 10 is a consensus document on the most critical web application security risks.
OWASP operates without commercial pressure, providing unbiased and practical security information.
The Top 10 risks are compiled using open-source projects, local chapters, and community surveys.
The 2021 OWASP Top 10 list was released with changes in category order and new categories.
Broken Access Control has become the top risk, highlighting the importance of authorization safeguards.
Cryptographic Failures, previously Sensitive Data Exposure, is now the second risk, emphasizing cryptography-related issues.
Injection,下滑至第三位, remains a significant vulnerability exploited by attackers.
Insecure Design is a new category, urging developers to integrate security patterns by design.
Security Misconfiguration, affecting 90% of tested applications, is now the fifth risk.
Vulnerable and Outdated Components, a rise from ninth to sixth position, signifies the ongoing challenge of patching.
Identification and Authentication Failures, a new name for Broken Authentication, is at seventh, showing progress in standard frameworks.
Software and Data Integrity Failures, a new category at eighth, focuses on protecting software updates and critical data.
Security Logging and Monitoring Failures, now ninth, impacts visibility and forensics in security.
Server-side Request Forgery, new at tenth, reflects the community's recognition of this significant risk.
The OWASP Top 10 serves as a baseline for compliance, education, and vendor tools in application security.
Transcripts
The OWASP Top 10 has developed into an international security standard
used by organizations across the globe. But even organizations that use OWASP
still end up as victims of cyberattack. So what is the OWASP Top 10 and how should you be using it?
What do you need to know so it becomes your friend?
OWASP, or the Open Web Application Security Project, was launched in 2003 to improve the
security of software, notably web applications. The OWASP Top 10 is a standard awareness document
that represents a broad consensus about the most critical security risks to web applications.
Nearly all involved with OWASP are volunteers and it is not affiliated with any technology
company. This lack of commercial pressure cements OWASP's claim of "unbiased, practical
and cost-effective information about application security." Or does it?
OWASP uses a community of open source software projects,
hundreds of local chapters worldwide, tens of thousands of members and training conferences
to compile their list of Top 10 risks. Data and documentation is fed into a GitHub repository
managed by OWASP after the Top 10 core team release a data call. Industry contributors are
also encouraged to participate in a survey. Once the data is collected in GitHub, it is normalized
and analyzed. Surveys are collected and reviewed. A draft Top 10 list is then made using eight risks
taken from the data and two from the survey. The draft is released publicly and the editing process
is recorded in GitHub. Once a public consensus has been reached, the OWASP Top 10 is released.
Last updated in 2017, the new list released on 24 September 2021
featured changes in category order, category name changes as well as some entirely new categories.
Let's take a look at the 2021 list and explain what the Top 10 categories actually mean.
Broken Access Control - up from number five - has taken the top spot in 2021.
This is an important change as it replaced injection - largely seen as the most popular
form of risk exploited by cybercriminals. Broken Access Control allows attackers to
bypass authorization safeguards and perform tasks as if they were privileged users.
Put simply, broken access control gives an attacker the ability to expose sensitive data
modify or destroy data, or perform pretty much any network function. It is the holy grail of exploits.
Cryptographic Failures - previously called Sensitive Data Exposure - is in at number two
from number three. Cryptographic Failures signifies a renewed focus by OWASP on failures
related to cryptography. In essence, this category exploits information transferred over secure
communication between two parties, which often provides an attacker with useful information
in the post-exploitation phase, like how to maintain persistent access.
Injection - previously known as Cross-site Scripting and considered the king of vulnerabilities -
slid down to number three. Injection exploits a vulnerable computer program by introducing
code that changes the way a program executes. For example, by injecting code into a web application
an attacker can steal authentication cookies and use them on other online
services, tricking these services into thinking that the attacker is you.
Insecure Design - a new category for the 2021 OWASP Top 10 - is in at number four. It
was included as a firm call for developers to include more security patterns and principles
by design. This is an important consideration when including a new application into your
network infrastructure, especially given the supply chain attack on SolarWinds
and the effect it had on third-party service providers.
Security Misconfiguration - in at number five, up from number six - was present in 90%
of applications tested, not surprising given the rise in highly configurable software.
Security Misconfiguration is a failure to implement all the security controls for a
server or web application, or implementing security controls but with errors. Everyone
makes mistakes and security misconfigurations occur through a broad range of human errors:
misinterpreting a system implementation; not changing default logging credentials;
a lack of computer skills; or, mistakes made under time pressure, for example.
Vulnerable and Outdated Components - previously known as Using Components
with Known Vulnerabilities - is up at number six, from number nine. By OWASP's own admission,
this category is difficult to test, but featured highly in the community survey
therefore contributing to its recent rank. Vulnerable and Outdated Components includes
operating systems, web or application servers, database management systems,
apis, and all components runtime environments and libraries that are vulnerable,
unsupported, or out of date. An adversary only needs to find one vulnerable component to
compromise a system. The problem is approximately 18,000 new vulnerabilities are found
each year, so protecting against known vulnerabilities is an ongoing process.
A new name given to Broken Authentication, Identification and Authentication Failures
comes in at number seven, down from number two - a good sign that standardized frameworks are helping.
broken authentication referred to the compromise of passwords,
keys, session tokens, user account information and other details to assume user identities.
The new position of Identification and Authentication Failures shows that procedures
like MFA are integral in authenticating key information, like usernames and passwords.
Another new category, Software and Data Integrity Failures comes in at number eight, focusing on
software updates, critical data, CI/CD pipelines and includes Insecure Desterilization from 2017.
This new category relates to code and infrastructure that does not protect against
integrity violations. An example of this is where an application, like Wordpress, relies on plugins
from untrusted sources one compromise plugin can give an attacker access to your application.
Previously categorized as Insufficient Logging and Monitoring, Security Logging
and Monitoring Failures comes in at number nine,
up from number 10. Although admittedly hard to test for due to a lack of representation in CVE/CSS data,
Security Logging and Monitoring Failures can seriously impact visibility and forensics.
Lastly, at number 10, Server-side Request Forgery is another new addition due to its position as
number one in the community survey, indicating strong feedback from the security community
that it is an important risk but not illustrated in the data collected. Server-side Request Forgery
is a type of exploit where an attacker abuses the functionality of a server causing it to access or
manipulate information that would otherwise not be directly accessible to the attacker.
The OWASP Top 10 is the go-to listing for anyone concerned with raising their awareness of top
risks. The addition of survey considerations as well as pure statistical data means that
OWASP does not solely rely on data collected by automated tests. Where possible, the categories
are ranked given three main considerations exploitability likelihood and technical impact.
However, OWASP themselves claim that it is a baseline - a "pseudo standard" even - for compliance,
education and vendor tools. As an awareness document, it is regarded as the bare minimum
reference for standards of coding, code reviews, peer reviews, tool support and penetration testing.
Being focused on AppSec means that many of the Top 10 findings cannot be easily tested for in-house.
Being a voluntary service means that participants releasing information publicly do so theoretically,
without the experience of a real world attack. If you're keen to hear more about OWASP's Top 10 list,
keep an eye out for our next video which compares OWASP's findings with our own list of Top 10 risks.
The risk is real. Defend with Cyber Citadel.
Ver Más Videos Relacionados
5.0 / 5 (0 votes)