Was sind die OWASP Top 10 - 2017?

A1:2017 - Injection

Injections entstehen durch die Verarbeitung von nicht vertrauens­würdigen Daten durch eine Anwendung. Diese Daten wurden hierbei nicht oder nur unzureichend validiert und behandelt. In der Vergangen­heit wurden häufig SQL-Injections ausgenutzt; dennoch müssen ebenso andere Injections wie gegen LDAP-Verzeichnisse oder das Betriebs­system berücksichtigt werden.

A2:2017 - Fehler im Authenti­fizierungs­management

Die Authentifi­zierung stellt den Vorgang dar, in dem ein Benutzer seine Identität gegenüber einer Anwendung nachweist. Fehler hierbei können dazu führen, dass Angreifer Identitäten missbrauchen und sich als ein anderer Benutzer ausgeben können.

A3:2017 - Veröffentlichung sensitiver Informationen

Durch unzureichenden Schutz sensitiver Daten sind in der Vergangenheit schwerwiegende Vorfälle entstanden. In 2016 musste Yahoo einräumen 3,5 Milliarden Nutzerdaten verloren zu haben, wobei in den Daten auch schwach gehashte (MD5) Passwörter enthalten waren. Durch den unzureichenden Schutz sind Milliarden von Passwort­kombina­tionen und anderen sensitiven Informationen wie Bank- und Kredit­karten­daten bekannt geworden.

A4:2017 - XML External Entities (XXE)

Der XML-Standard sieht es vor externe Daten in ein XML-Dokument nachzuladen. Wer das bei der Verarbeitung dieser Dokumente nicht berücksichtigt, riskiert eine unberechtigte Befehlsaus­führung, den Abfluss interner Informa­tionen oder Dienstversagen.

A5:2017 - Fehler im Zugriffs­management

Wird das Zugriffsmanagement nicht stringent umgesetzt, können Benutzer auf Daten zugreifen, die nicht für sie freigegeben sind. Beim Design einer Anwendung muss deshalb zwingend und klar definiert werden, wie Benutzer sich gegenüber einer Anwendung authentifizieren (A2:2017) und im Folgeschritt, wenn die Identität festgestellt wurde, wozu der Benutzer berechtigt ist.

A6:2017 - Sicherheits­rele­vante Fehl­kon­figuration

Werden Fehler in der Konfiguration von Systemen wie Firewalls, Webservern oder Weban­wendungen gemacht, kann dies weitreichende Folgen haben. Denkbar sind von der Veröffentlichung sensitiver Informationen über unautorisierten System­zugriff bis hin zu Dienst­versagen viele Fälle.

A7:2017 - Cross-Site Scripting (XSS)

Bestimmte Zeichen müssen dem Browser als Sonderzeichen übergeben werden, da andernfalls der Browser diese als Befehle interpretiert. Wer das sogenannte Output Escaping nicht beherrscht, riskiert Cross-Site Scripting, wodurch Angreifer möglicher­weise Cookie-Informationen abgreifen oder Seiten verunstalten können.

A8:2017 - Unsichere Deseriali­sierung

Bei einer Serialisierung werden komplexe Datenstrukturen in eine sequentielle Zeichenkette umgewandelt. Der umgekehrte Prozess – die Deserialisierung – kann ausgenutzt werden, um fremde Befehle auszuführen.

A9:2017 - Verwendung unsicherer Kompo­nenten

In der heutigen Welt von Frameworks und Software­bibliotheken verwenden Entwickler sehr häufig fremden Code. Was Effizienz- und Sicherheits­vorteile bietet, kann gleichfalls zum Einfallstor für Hacker werden. Nachdem Sicherheitslücken von Software­komponenten bekannt werden, muss unverzüglich für ein Update gesorgt werden. Das Bewusstsein und die Verwendung sicherer Komponenten stellt eine große Herausforderung dar.

A10:2017 - Unzureichen­der Einsatz von Logging und Überwachung

Logging und die Analyse dieser Daten stellt den wichtigsten Weg dar einen Angriff auf die eigenen Systeme zu erkennen. Ebenso müssen Fehler der Anwendung im laufenden Betrieb protokolliert und an die verantwortlichen Stellen kommuniziert werden.