OWASP Top 10 2021 ve savunma karşılıkları

En sık görülen kategori, yetki kontrolü eksikliğinden doğar.

Açıkça izin verilmeyen her erişimi reddet.

Yetkilendirmeyi istemci değil, her istekte sunucu doğrulasın.

Nesne kimliğine değil oturum sahipliğine göre erişim ver.

Zayıf kimlik doğrulama ve oturum yönetiminden doğar.

Parolaya ek ikinci bir doğrulama faktörü zorunlu tut.

Jetonları kısa ömürlü tut, çıkışta anında geçersiz kıl.

Başarısız giriş denemesine hız sınırı ve geçici kilitleme uygula.

Hassas verinin taşınırken veya saklanırken yeterince korunmamasından doğar.

Tüm dış trafiği güncel TLS sürümüyle şifrele.

Kırılmış veya zayıf özet ve şifreleme algoritmalarını kullanma.

Şifreleme anahtarlarını kod içine gömmeden merkezi bir kasa veya anahtar yönetim servisinde tut.

Doğrulanmamış güncelleme ve derleme zincirinden doğar.

Yayınlanan yapı çıktısını imzala, dağıtımda imzayı doğrula.

Derleme hattına erişimi kısıtla, bağımlılık kaynağını sabitle.

Doğrulanmamış girdinin sorgu veya komut olarak yorumlanmasından doğar.

Veri tabanı sorgularında girdiyi asla metin birleştirmeyle ekleme.

Girdiyi bilinen ve beklenen biçimle karşılaştırarak kabul et.

Güvenliğin sonradan eklendiği, baştan tasarlanmadığı durumdan doğar.

Tasarım aşamasında olası kötüye kullanım senaryolarını çıkar.

Sunucunun saldırgan kontrolündeki bir adrese istek yapmasından doğar.

Sunucudan yapılan dış istekleri yalnız bilinen adreslerle sınırla.

Uygulama sunucusunun iç ağa erişimini en az ayrıcalık ilkesiyle kısıtla.

Güvensiz varsayılan ayar veya gereksiz açık servisten doğar.

Sunucu ve uygulamayı bilinen bir sertleştirme standardına göre yapılandır.

Kurulumla gelen varsayılan kullanıcı ve parolaları değiştir veya kapat.

Üretimde ayrıntılı hata izini kullanıcıya gösterme.

Bilinen zafiyeti olan eski bağımlılıktan doğar.

Kullanılan tüm bağımlılıkların envanterini güncel tut.

Derleme hattında bilinen zafiyet taraması çalıştır.

Olayın fark edilmemesi veya geç fark edilmesinden doğar.

Kimlik doğrulama ve yetki olaylarını merkezi bir sisteme topla.

Şüpheli örüntüler için otomatik uyarı eşiği tanımla.

Günlükleri olay müdahalesine yetecek süre boyunca sakla.

Tüm sistemleri NTP ile aynı saate hizala, zaman çizelgesi çıkarmayı kolaylaştır.

Günlükleri sonradan değiştirilmesi zor olacak şekilde ayrı ve salt eklemeli tut.