OWASP Top 10

L’Open Web Application Security Project o OWASP , come detto nel nostro precedente articolo, è un’organizzazione no profit che ha come scopo quello di fornire soluzioni top di gamma per quanto riguarda l’application security. I consigli e i tool forniti sono completamente gratuiti, imparziali e pratici. Inoltre, l’organizzazione traccia una lista, la lista OWASP Top 10 web application security risks. Questa lista aiuta gli sviluppatori e non solo ad implementare ogni misura necessaria per garantire protezione. La lista corrente è l’ OWASP Top 10 2017.

Nonostante queste vulnerabilità possano essere fixate con misure adeguate, solo il 30% delle applicazioni ha superato lo scan OWASP nel 2017. Meno del 40% dei software sviluppati internamente ha superato l’OWASP Top 10 policy scan. Per quanto riguarda applicazioni svluppate da terze parti, d’altro canto, il totale si aggira intorno al 25%.

[bottone-post]

OWASP TOP 10: la lista

• Injection flaws: l’ SQL injection , l’LDAP injection e la CRLF injection sono in cima alla OWASP Top 10 delle web security vulnerability threats. Questo accade quando un hacker invia dei dati pericolosi ad un interprete e i dati vengono eseguiti senza l’autorizzazione necessaria. Quasi ogni fonte di dati può essere un vettore d’iniezione compresi parametri, variabili ambientali, servizi web interni/esterni ed utenti.

• Broken authentication and session management: permette agli hacker di negoziare password, dettagli dell’utente, session tokens e prendere il controllo del sistema.

• Exposure of sensitive data: permette agli attaccanti di ottenere le informazioni in questione. Questi eventi si verificano di norma durante frodi relative al mondo finanziario o legate al furto d’identità.

• XML External Entity: una tipologia di vulnerabilità relativa alla sicurezza delle Web Application. Questa vulnerabilità permette di divulgare file protetti da un server o da un network connesso.

• Broken Access Control: aiuta gli attaccanti ad ottenere dati o funzionalità cui non hanno accesso per poi in un secondo momento usarle, eliminarle o modificarle per compromettere la sicurezza del sistema.

[bottone-post]

• Security Misconfiguration: conduce all’esposizione del sistema alle vulnerabilità che possono essere sfruttate dagli attaccanti.

• Cross-Site Scripting o XSS faults: permette agli hacker di introdurre client-side scripts all’interno di ogni applicazione al fine di prendere il controllo del sistema.

• Insecure deserialization: avviene quando dei dati non affidabili vengono utilizzati per compromettere la logica di un’applicazione o infliggere un attacco DoS e permette agli attaccanti di eseguire da remoto codice nell’applicazione e cancellare o manomettere oggetti in serie.

• Use of Components with Known Vulnerabilities:  permette all’hacker di sfruttare componenti con vulnerabilità note e prendere il controllo del server.

• Insufficient Logging and Monitoring: conduce a minacce persistenti di sicurezza quando il breach non viene rilevato immediatamente.

OWASP Top 10: come posso proteggermi?

Proteggere il proprio business diventa estremamente facile con il Vulnerability Assessment Swascan. Lo scanner analizza tutte le vulnerabilità presenti nel sito internet o nella web application. Inoltre, prepara un report dettagliato delle vulnerabilità identificate con annesse azioni correttive da implementare per il ripristino. Ci sono molteplici vantaggi nell’adottare questa soluzione, tra questi la possibilità di rilevare vulnerabilità come: SQL injection, cross-site scripting, Path Traversal etc.

Per fare in modo di assicurare la massima protezione disponibile, Swascan ha sviluppato uno strumento di Vulnerability Assessment unico.

Come detto in precedenza, lo strumento permette di identificare, analizzare e risolvere tutte le vulnerabilità e le criticità relative a siti internet e web application. Cliccando sul bottone sottostante è disponibile una prova gratuita della piattaforma Swascan:

[bottone-post]

Swascan

In modo da garantire al tuo business lo strumento più idoneo, Swascan ha sviluppato una speciale piattaforma di CyberSecurity. In Cloud, SaaS e Pay for Use. Puoi consultare immediatamente la nostra brochure: Piattaforma di CyberSecurity e dare un’occhiata più approfondita ai nostri servizi. I nostri quattro servizi coprono ogni bisogno in termini di gestione del rischio e valutazione periodica. In poche parole, se hai bisogno di capire in quali aree concentrare le risorse aziendali gli strumenti ideali sono il Vulnerability Assessment , Network Scan, Code Review e il GDPR Self-Assessment ( infografica GDPR ): la nostra piattaforma è al 100% GDPR compliant e permette di valutare il livello di Compliance della propria azienda.