非營利組織「開放網路軟體安全計畫」(Open Web Application Security Project,OWASP)自2017年以來首度更新弱點排名Top 10,此次排名變化甚多,共新增3項弱點類別,4項弱點類別的名稱或範疇有所變更,最新排名如下:

  1. 無效的存取控管(Broken Access Control):從排名第5躍升至第1,OWASP表示,平均而言,3.81%受測的應用程式就會出現一個或多個CWE(Common Weakness Enumerations),與其他弱點類別相比,「無效的存取控管」出現次數明顯最多。
  2. 加密失敗(Cryptographic Failures):過去被稱為「敏感資料外洩」(Sensitive Data Exposure),更新排名後,此類別聚焦於因加密失敗所導致的敏感資料外洩或系統受損。
  3. 隱碼攻擊(Injection):從第1名下滑至第3名,跨網站指令碼(Cross-site scripting,XSS)已納入此類別。
  4. 不安全設計(Insecure Design):屬新增的弱點類別,關注焦點是因設計缺陷所導致的風險,相關產業須採用更多威脅模型、安全設計模式與原則及參考架構以規避風險。
  5. 安全錯誤配置(Security Misconfiguration):從第6名上升至第5名,排名上升的原因是由於許多應用程式已轉移至高度可配置式軟體。
  6. 易遭攻擊與過時的零組件(Vulnerable and Outdated Components):從第9名上升至第6名,過去使用的類別名稱為「使用具已知弱點的零組件」(Using Components with Known Vulnerabilities)。
  7. 身分驗證失敗(Identification and Authentication Failures):從第2名下滑至第7名,這是因為更多企業或組織採用有助於解決此弱點的標準化安全框架。此項弱點過去被稱為「無效身分認證」(Broken Authentication)。
  8. 軟體及資料完整性故障(Software and Data Integrity Failures):屬新增的弱點類別,此類別聚焦於軟體更新、關鍵資料及CI/CD(Continuous Integration / Continuous Deployment)管道的完整性未經驗證。
  9. 安全紀錄及監控故障(Security Logging and Monitoring Failures):過去被稱為「安全紀錄與監控不足」(Insufficient Logging & Monitoring),排名從第10名上升至第9名。弱點範疇有所擴充且難以測試,但會直接影響弱點揭露、安全事件預警以及取證。
  10. 伺服器端請求偽造(Server-side Request Forgery,SSRF):屬新增的弱點類別,此項弱點發生機率較低但受專業安全人員高度重視。

美國國家標準暨技術研究院(National Institute of Standards and Technology,NIST)已識別這些弱點,並於去年發布納入運行時應用程式自我保護(Runtime Application Self Protection,RASP)及互動式應用系統安全測試(Interactive Application Security Testing,IAST)的SP800-53應用程式安全框架

相關連結:

Jonathan Grelg (2021). OWASP updates top 10 vulnerability ranking for first time since 2017. ZD Net.

檢自:

https://www.zdnet.com/article/owasp-updates-top-10-vulnerability-ranking-for-first-time-since-2017/ (Sep. 24 , 2021)

Leave a Comment

發佈留言必須填寫的電子郵件地址不會公開。 必填欄位標示為 *

回到頂端