OWASP Top 10: guida alle vulnerabilità web
L'elenco di riferimento per la sicurezza delle applicazioni web, usato da sviluppatori e auditor in tutto il mondo.
OWASP (Open Worldwide Application Security Project) pubblica la Top 10 come documento di sensibilizzazione sulle categorie di rischio più critiche. Questa guida riassume l'edizione 2021, la più recente al momento della stesura.
Ogni categoria raggruppa diverse vulnerabilità: la sua conoscenza è il punto di partenza di qualsiasi programma di secure coding.
Le dieci categorie
A01 · Broken Access Control
Controlli di autorizzazione mancanti o aggirabili: accesso ai dati di altri utenti, escalation di privilegi.
A02 · Cryptographic Failures
Dati sensibili non cifrati o protetti con algoritmi e chiavi deboli.
A03 · Injection
Input non attendibile interpretato come comando: SQL, NoSQL, OS command, XSS.
A04 · Insecure Design
Difetti nella progettazione e mancanza di threat modeling, non correggibili con una semplice patch.
A05 · Security Misconfiguration
Impostazioni di default, servizi inutili attivi, messaggi di errore troppo verbosi.
A06 · Vulnerable and Outdated Components
Librerie, framework e plugin con vulnerabilità note e non aggiornati.
A07 · Identification and Authentication Failures
Password deboli, brute force possibile, gestione errata delle sessioni.
A08 · Software and Data Integrity Failures
Aggiornamenti e pipeline CI/CD senza verifica di integrità, deserializzazione insicura.
A09 · Security Logging and Monitoring Failures
Eventi critici non registrati o non monitorati: gli attacchi restano invisibili.
A10 · Server-Side Request Forgery (SSRF)
Il server viene indotto a effettuare richieste verso risorse interne o servizi cloud.
Come difendersi: i principi chiave
Negare per default
Ogni risorsa è vietata finché non è esplicitamente autorizzata, e il controllo è sempre lato server.
Validare e codificare
Query parametrizzate, validazione dell'input con liste consentite, codifica dell'output.
Aggiornare e inventariare
Conosci i componenti che usi e applica le patch in modo tempestivo.
Progettare con la sicurezza in mente
Threat modeling, librerie sicure e test di sicurezza durante lo sviluppo.
Registrare e monitorare
Log utili degli eventi di sicurezza con allarmi sulle anomalie.
Domande frequenti
La Top 10 è uno standard di conformità?
No, è un documento di sensibilizzazione. Per requisiti verificabili si usa OWASP ASVS.
Possiamo verificare la nostra applicazione rispetto alla Top 10?
Sì: un penetration test applicativo copre tutte le categorie e produce un report di dettaglio.
Approfondisci
Mettiamo in sicurezza il tuo guida owasp top 10
Raccontaci il tuo caso: ti rispondiamo entro un giorno lavorativo.