OWASP Top 10 2025 Počítačový Kurz

A01:2025 - Porušení přístupu (Broken Access Control)
A02:2025 - Nepřesné nastavení bezpečnosti (Security Misconfiguration)
A03:2025 - Selhání dodavatelského řetězce softwaru (Software Supply Chain Failures)
A04:2025 - Selhání kryptografie (Cryptographic Failures)
A05:2025 - Injekce (Injection)
A06:2025 - Nezabezpečené návrhy (Insecure Design)
A07:2025 - Selhání autentizace (Authentication Failures)
A08:2025 - Selhání integrity softwaru nebo dat (Software or Data Integrity Failures)
A09:2025 - Selhání bezpečnostního protokolování a alarmování (Security Logging and Alerting Failures)
A10:2025 - Nephodlité zpracování výjimečných stavů (Mishandling of Exceptional Conditions)

A01:2025 Porušení přístupu - Ovládání přístupu vynucuje politiku tak, aby uživatelé nemohli konat mimo své zamýšlené oprávnění. Selhání této funkce typicky vede k nepovolenému rozšíření informací, úpravě nebo zkáze všech dat, nebo k provádění obchodních funkcí mimo limity uživatele.

A02:2025 Nepřesné nastavení bezpečnosti - Nepřesné nastavení bezpečnosti nastává, když je systém, aplikace nebo cloudová služba nesprávně nastavena z pohledu bezpečnosti, čímž vznikají zranitelnosti.

A03:2025 Selhání dodavatelského řetězce softwaru - Selhání dodavatelského řetězce softwaru jsou poruchy nebo jiná narušení v procesu stavby, distribuce nebo aktualizace softwaru. Často jsou způsobeny zranitelnostmi nebo zловbenými změnami v kódu třetích stran, nástrojích nebo jiných závislostech, na kterých systém závisí.

A04:2025 Selhání kryptografie - Obecně by všechna data v pohybu měla být šifrována na transportní vrstvě (OSI vrstva 4). Předchozí překážky, jako je výkon CPU a správa privátních klíčů/certifikátů, jsou nyní řešeny CPU s instrukcemi navrženými pro urychlení šifrování (např. podpora AES) a zjednodušenou správou privátních klíčů a certifikátů službami jako je LetsEncrypt.org, přičemž velcí poskytovatelé cloudů nabízejí ještě těsněji integrované služby správy certifikátů pro jejich specifické platformy. Kromě zabezpečení transportní vrstvy je důležité určit, která data potřebují šifrování při uložení a která data potřebují další šifrování v pohybu (na aplikační vrstvě, OSI vrstva 7). Například hesla, čísla kreditních karet, zdravotní záznamy, osobní informace a obchodní tajnosti vyžadují dodatečnou ochranu, zejména pokud podléhají zákonům o soukromí, např. Obecnému nařízení EU o ochraně osobních údajů (GDPR), nebo předpisům, jako je Standard bezpečnosti dat PCI (PCI DSS).

A05:2025 Injekce - Zranitelnost na základě injekce je systémový nedostatek, který umožňuje útočníkovi vložit maliciózní kód nebo příkazy (jako je kód SQL nebo shell) do vstupních polí programu a přimět systém, aby tento kód nebo příkazy spustil, jako by byly součástí systému. To může vést k skutečně závažným následkům.

A06:2025 Nezabezpečené návrhy - Nezabezpečený návrh je široká kategorie, která představuje různé slabé stránky vyjádřené jako "chybějící nebo neefektivní návrh kontroly". Nezabezpečený návrh není zdrojem všech ostatních kategorií rizik v Top 10. Pozorujte, že mezi nezabezpečeným návrhem a nezabezpečenou implementací je rozdíl. Rozlišujeme mezi návrhovými nedostatkami a chybnou implementací z důvodu, že mají různé příčiny, vyskytují se v různých fázích vývojového procesu a mají různá nápravná opatření. Bezpečný návrh může stále mít implementační chyby vedoucí ke zranitelnostem, které lze zneužít. Nezabezpečený návrh nelze opravit dokonalou implementací, protože požadované bezpečnostní kontroly nebyly nikdy vytvořeny k obraně proti specifickým útokům. Jedním z faktorů přispívajících k nezabezpečenému návrhu je chybějící profilování obchodních rizik v rámci softwaru nebo systému, který se vyvíjí, a tedy neschopnost určit požadovanou úroveň bezpečnostního návrhu.

A07:2025 Selhání autentizace - Pokud je útočník schopen přimět systém, aby uznal neplatného nebo nesprávného uživatele jako legitimního, tato zranitelnost je přítomna.

A08:2025 Selhání integrity softwaru nebo dat - Selhání integrity softwaru a dat se týkají kódu a infrastruktury, která neochraní před neočekávaným nebo nedůvěryhodným kódem nebo daty, která jsou považována za důvěryhodná a platná. Příkladem je aplikace, která spoléhá na pluginy, knihovny nebo moduly z nedůvěryhodných zdrojů, repozitářů a sítí pro distribuci obsahu (CDN). Nezabezpečená CI/CD pipeline bez spotřeby a poskytování kontrol integrity softwaru může zavést potenciál pro nepovolený přístup, nezabezpečený nebo maliciózní kód, nebo kompromitaci systému. Dalším příkladem je CI/CD, která stahuje kód nebo artefakty z nedůvěryhodných míst a/nebo je neověřuje před použitím (ověřením podpisu nebo podobným mechanismem).

A09:2025 Selhání bezpečnostního protokolování a alarmování - Bez protokolování a monitorování nemohou být útoky a prolomení odhaleny a bez alarmování je velmi obtížné reagovat rychle a efektivně během bezpečnostní události. Nedostatečné protokolování, kontinuální monitorování, detekce a alarmování k zahájení aktivní odpovědi se vyskytují kdykoli

A10:2025 Nephodlité zpracování výjimečných stavů - Nephodlité zpracování výjimečných stavů v softwaru nastává, když programy nezabraňují, nedetekují a nereagují na neobvyklé a nepředvídatelné situace, což vede k pádům, nečekanému chování a někdy i ke zranitelnostem. To může zahrnovat jednu nebo více z následujících tří nedostatků: aplikace nezabraňuje vzniku neobvyklé situace, neidentifikuje ji, zatímco se děje, a/nebo na ní po jejím vzniku špatně nebo vůbec nereaguje.

Porodíme a představíme praktické aspekty:

Porušení přístupu
- Praktické příklady porušení ovládání přístupu
- Bezpečné ovládání přístupu a nejlepší postupy

Nepřesné nastavení bezpečnosti
- Příklady z reálného světa nesprávných nastavení
- Kroky pro prevenci nesprávných nastavení, včetně nástrojů pro správu konfigurace a automatizaci

Selhání kryptografie
- Podrobná analýza selhání kryptografie, jako jsou slabé šifrovací algoritmy nebo nesprávné správu klíčů
- Důležitost silných kryptografických mechanismů, bezpečných protokolů (SSL/TLS) a příklady moderní kryptografie v bezpečnosti webů

Injekční útoky
- Podrobný rozbor injekcí SQL, NoSQL, OS a LDAP
- Techniky mitigace pomocí přípravených dotazů, parametrizovaných dotazů a escapování vstupů

Nezabezpečené návrhy
- Prozkoumáme návrhové nedostatky, které mohou vést ke zranitelnostem, jako je nesprávné ověřování vstupů
- Studujeme strategie pro bezpečnou architekturu a principy bezpečného návrhu

Selhání autentizace
- Běžné problémy s autentizací
- Bezpečné strategie autentizace, jako je vícefaktorová autentizace a správná správa relací

Selhání integrity softwaru a dat
- Zaměření na problémy jako nedůvěryhodné aktualizace softwaru a manipulace s daty
- Bezpečné mechanismy aktualizací a kontroly integrity dat

Selhání bezpečnostního protokolování a monitorování
- Důležitost protokolování bezpečnostně relevantních informací a monitorování podezřelých aktivit
- Nástroje a postupy pro správné protokolování a monitorování v reálném čase pro včasné odhalení prolomení