OWASP Top 10 2025 Treningskurs

A01:2025 - Brokettilgangskontroll
A02:2025 - Sikkerhetsfeilkonfigurasjon
A03:2025 - Svikt i programvareforsyningssleden
A04:2025 - Kryptografiske svikt
A05:2025 - Injeksjon
A06:2025 - Usikker design
A07:2025 - Autentiseringssvikt
A08:2025 - Svikt i programvare- eller dataintegritet
A09:2025 - Svikt i sikkerhetslogg og varsling
A10:2025 - Feilhåndtering av unntaksforhold

A01:2025 Brokettilgangskontroll - Tilgangskontroll håndhever policyer slik at brukere ikke kan handle utenfor deres tilsiktede tillatelser. Svikt fører typisk til uautorisert avsløring, modifisering eller ødeleggelse av alle data, eller utføring av en funksjon utenfor brukerens grenser.

A02:2025 Sikkerhetsfeilkonfigurasjon - En sikkerhetsfeilkonfigurasjon oppstår når et system, en applikasjon eller en tjene på skyen er konfigurert feilaktig fra et sikkerhetsperspektiv, noe som skaper sårbarheter.

A03:2025 Svikt i programvareforsyningssleden - Svikt i programvareforsyningssleden er sammenbrudd eller andre kompromisser i prosessen med å bygge, distribuere eller oppdatere programvare. De skyldes ofte sårbarheter eller ondsinnede endringer i tredjeparts-kode, verktøy eller andre avhengigheter som systemet stoler på.

A04:2025 Kryptografiske svikt - Generelt sett bør all data i transport krypteres på transportlaget (OSI-lag 4). Tidligere utfordringer som CPU-ytelse og administrasjon av private nøkler/sertifikater håndteres nå av CPUs med instruksjoner designet for å akselerere kryptering (f.eks. AES-støtte) og forenklet administrasjon av private nøkler og sertifikater av tjenester som LetsEncrypt.org, mens store skyleverandører tilbyr enda mer tett integrerte sertifikatadministrasjonstjenester for sine spesifikke plattformer. Bortsett fra å sikre transportlaget, er det viktig å avgjøre hvilke data som trenger kryptering i hvile, samt hvilke data som trenger ekstra kryptering under transport (på applikasjonslaget, OSI-lag 7). For eksempel krever passord, kredittkortnummer, helseopplysninger, personopplysninger og kommersielle hemmeligheter ekstra beskyttelse, spesielt hvis disse dataene faller under personvernlover, f.eks. EU's Generelle dataverneforordning (GDPR), eller regulativer som PCI Data Security Standard (PCI DSS).

A05:2025 Injeksjon - En injeksjonssårbarhet er en systemfeil som tillater en angriper å sette inn ondsinnet kode eller kommandoer (som SQL- eller shell-kode) i et programs inndatafelt, noe som lurer systemet til å kjøre koden eller kommandoene som om de var en del av systemet. Dette kan føre til svært alvorlige konsekvenser.

A06:2025 Usikker design - Usikker design er en bred kategori som representerer ulike svakheter, uttrykt som "manglende eller ueffektiv kontrolldesign." Usikker design er ikke kilde til alle andre risikokategorier i Top Ten. Merk at det er en forskjell mellom usikker design og usikker implementering. Vi skiller mellom designfeil og implementeringsdefekter av en grunn, de har ulike røtdeler, forekommer på ulike tidspunkter i utviklingsprosessen og har ulike rettingstiltak. En sikker design kan fortsatt ha implementeringsdefekter som fører til sårbarheter som kan utnyttes. En usikker design kan ikke repareres med en perfekt implementering, da de nødvendige sikkerhetskontrollene aldri ble opprettet for å forsvarer seg mot spesifikke angrep. En av faktorene som bidrar til usikker design er mangel på risikoprofilering av virksomheten innebygd i programvaren eller systemet som utvikles, og dermed svikt i å avgjøre hvilket nivå av sikkerhetsdesign som kreves.

A07:2025 Autentiseringssvikt - Når en angriper kan lure et system til å erkjente en ugyldig eller feilaktig bruker som legitim, er denne sårbarheten til stede.

A08:2025 Svikt i programvare- eller dataintegritet - Svikt i programvare- og dataintegritet gjelder kode og infrastruktur som ikke beskytter mot at ugyldig eller upålitelig kode eller data behandles som pålitelig og gyldig. Et eksempel på dette er når en applikasjon stoler på.plugins, biblioteker eller moduler fra upålitelige kilder, repositories og content delivery networks (CDNs). En usikker CI/CD-pipeline uten inntak og levering av programvareintegritetsjekk kan introdusere potensiale for uautorisert tilgang, usikker eller ondsinnet kode, eller systemkompromittering. Et annet eksempel på dette er en CI/CD som henter kode eller artefakter fra upålitelige steder og/eller ikke verifiserer dem før bruk (ved å sjekke signaturen eller lignende mekanisme).

A09:2025 Svikt i sikkerhetslogg og varsling - Uten logging og overvåking kan angrep og brudd ikke detekteres, og uten varsling er det svært vanskelig å reagere raskt og effektivt under en sikkerhetsincident. Tilstrekkelig logging, kontinuerlig overvåking, deteksjon og varsling for å initiere aktive responser forekommer når som helst.

A10:2025 Feilhåndtering av unntaksforhold - Feilhåndtering av unntaksforhold i programvare skjer når programmer mislykkes i å forebygge, detektere og respondere på usannsynlige og uprediktbare situasjoner, noe som fører til nedbryting, uventet oppførsel og iblant sårbarheter. Dette kan involvere én eller flere av følgende tre feil; applikasjonen forebygger ikke at en usannsynlig situasjon oppstår, den identifiserer ikke situasjonen mens den foregår, og/eller responder den dårlig eller ikke i det hele tatt på situasjonen etterpå.

Vi vil diskutere og presentere praktiske aspekter av:

Brokettilgangskontroll
- Praktiske eksempler på brokettilgangskontroll
- Sikker tilgangskontroll og beste praksis

Sikkerhetsfeilkonfigurasjon
- Reale eksempler på feilkonfigurasjon
- Tiltak for å forebygge feilkonfigurasjon, inkludert konfigurasjonsadministrasjon og automatiseringsverktøy

Kryptografiske svikt
- Detaljert analyse av kryptografiske svikt som svak krypteringsalgoritme eller upassende nøkeladministrasjon
- Viktigheten av sterke kryptografiske mekanismer, sikre protokoller (SSL/TLS) og eksempler på moderne kryptografi i nettsikkerhet

Injeksjonsangrep
- Detaljert oppløysning av SQL-, NoSQL-, OS- og LDAP-injeksjon
- Mitigeringsteknikker ved hjelp av forhåndslagte setninger, parametriserte spørringer og escaping av inndata

Usikker design
- Vi vil utforske designfeil som kan føre til sårbarheter, som upassende validering av inndata
- Vi vil studere strategier for sikker arkitektur og sikkerhetsdesignprinsipper

Autentiseringssvikt
- Vanlige autentiseringsproblemer
- Sikre autentiseringsstrategier, som multi-faktorkryptografi og riktig sesjonsbehandling

Svikt i programvare- og dataintegritet
- Fokus på problemer som upålitelig programvareoppdatering og datainnblanding
- Sikre oppdateringsmekanismer og dataintegritetsjekk

Svikt i sikkerhetslogg og overvåking
- Viktig av logging av sikkerhetsrelevant informasjon og overvåking for mistenkelige aktiviteter
- Verktøy og praksis for riktig logging og sanntids overvåking for å detektere brudd tidlig