OWASP Top 10 2025培訓

A01:2025 - 訪問控制失效
A02:2025 - 安全配置錯誤
A03:2025 - 軟件供應鏈失效
A04:2025 - 加密機制失效
A05:2025 - 注入攻擊
A06:2025 - 不安全設計
A07:2025 - 身份驗證失效
A08:2025 - 軟件或數據完整性失效
A09:2025 - 安全日誌記錄與告警失效
A10:2025 - 異常情況處理不當

A01:2025 訪問控制失效 - 訪問控制通過強制執行策略來確保用戶無法超出其預期權限進行操作。失效通常會導致未經授權的信息披露、數據修改或破壞，或在用戶權限範圍外執行業務功能。

A02:2025 安全配置錯誤 - 安全配置錯誤是指系統、應用程序或雲服務在安全性方面設置不當，從而產生漏洞。

A03:2025 軟件供應鏈失效 - 軟件供應鏈失效是指在構建、分發或更新軟件的過程中出現的故障或其他妥協情況。這通常是由於系統依賴的第三方代碼、工具或其他組件中存在漏洞或惡意變更所致。

A04:2025 加密機制失效 - 總體而言，所有傳輸中的數據都應在傳輸層（OSI 第 4 層）進行加密。過去由 CPU 性能和私鑰/證書管理帶來的挑戰，現在已通過支持加密加速指令（如 AES 支持）的 CPU，以及如 LetsEncrypt.org 等簡化私鑰和證書管理服務的簡化，並由主要雲服務提供商為其特定平台提供緊密整合的證書管理服務來解決。除了保護傳輸層外，確定哪些數據需要靜態加密以及哪些數據需要在傳輸過程中進行額外加密（在應用層，OSI 第 7 層）也很重要。例如，密碼、信用卡號、健康記錄、個人信息和商業機密需要額外保護，特別是在該數據屬於隱私法律（如歐盟《通用數據保護條例》（GDPR））或法規（如 PCI 數據安全標準（PCI DSS））範疇內時。

A05:2025 注入攻擊 - 注入漏洞是一種系統缺陷，允許攻擊者將惡意代碼或命令（如 SQL 或 Shell 代碼）插入程序的輸入字段，誘騙系統執行這些代碼或命令，彷彿它們是系統的一部分。這可能導致真正嚴重的後果。

A06:2025 不安全設計 - 不安全設計是一個廣泛的類別，代表不同的弱點，表現為「缺失或無效的控制設計」。不安全設計並非其他十大風險類別的根源。請注意，不安全設計與不安全實現之間存在差異。我們區分設計缺陷和實現缺陷是有原因的，它們有不同的根本原因，發生在開發過程的不同階段，並需要不同的修復方法。一個安全的設計可能仍然存在導致漏洞的實現缺陷，這些漏洞可能被利用。一個不安全的設計無法通過完美的實現來修復，因為從未創建必要的安全控制來防禦特定攻擊。導致不安全設計的因素之一是缺乏開發軟件或系統固有的業務風險特徵，從而未能確定所需的安全設計級別。

A07:2025 身份驗證失效 - 當攻擊者能夠欺騙系統將無效或不正確的用戶識別為合法用戶時，就存在此漏洞。

A08:2025 軟件或數據完整性失效 - 軟件和數據完整性失效涉及未對無效或不可信代碼或數據被視為可信和有效進行保護的代碼和基礎設施。一個例子是應用程序依賴於來自不可信源、存儲庫或內容分發網絡（CDN）的插件、庫或模塊。一個不安全的 CI/CD 管道如果沒有消費和提供軟件完整性檢查，可能會引入未經授權訪問、不安全或惡意代碼或系統妥協的風險。另一個例子是 CI/CD 從不可信的地方拉取代碼或工件，和/或在使用前未進行驗證（通過檢查簽名或類似機制）。

A09:2025 安全日誌記錄與告警失效 - 沒有日誌記錄和監控，無法檢測攻擊和洩漏；沒有告警，在安全事件發生期間很難快速有效地做出回應。日誌記錄、持續監控、檢測和告警不足以啟動主動回應的情況隨時可能發生

A10:2025 異常情況處理不當 - 軟件中異常情況處理不當發生在程序無法防止、檢測和回應異常且不可預測的情況時，這會導致崩潰、意外行為，有時還會導致漏洞。這可能涉及以下三類失敗中的一類或多類：應用程序未能防止異常情況發生、未能識別正在發生的情況，和/或在情況發生後回應不良或完全沒有回應。

我們將討論並展示以下實際方面：

訪問控制失效
- 訪問控制失效的實用示例
- 安全訪問控制及最佳實踐

安全配置錯誤
- 配置錯誤的真實世界示例
- 防止配置錯誤的步驟，包括配置管理和自動化工具

加密機制失效
- 詳細分析加密機制失效，如弱加密算法或密鑰管理不當
- 強加密機制、安全協議（SSL/TLS）以及 Web 安全中現代加密示例的重要性

注入攻擊
- SQL、NoSQL、OS 和 LDAP 注入的詳細分解
- 使用預備語句、參數化查詢和輸入轉義的緩解技術

不安全設計
- 我們將探討可能導致漏洞的設計缺陷，如輸入驗證不當
- 我們將研究安全架構策略和安全設計原則

身份驗證失效
- 常見的身份驗證問題
- 安全的身份驗證策略，如多因素身份驗證和適當的會話處理

軟件和數據完整性失效
- 側重於不可信軟件更新和數據篡改等問題
- 安全的更新機制和數據完整性檢查

安全日誌記錄與監控失效
- 記錄與安全相關的信息並監控可疑活動的重要性
- 用於適當記錄和實時監控以早期檢測洩漏的工具和實踐