OWASP Top 10 2025 Träningskurs

A01:2025 - Broken Access Control
A02:2025 - Security Misconfiguration
A03:2025 - Software Supply Chain Failures
A04:2025 - Cryptographic Failures
A05:2025 - Injection
A06:2025 - Insecure Design
A07:2025 - Authentication Failures
A08:2025 - Software or Data Integrity Failures
A09:2025 - Security Logging and Alerting Failures
A10:2025 - Mishandling of Exceptional Conditions

A01:2025 Broken Access Control - Åtkomstkontroll tvingar fram en policy som innebär att användare inte kan agera utanför sina avsedda behörigheter. Misslyckanden leder vanligtvis till obehörig informationssläpp, ändring eller förstörelse av all data, eller utförande av affärshandlingar utöver användarens begränsningar.

A02:2025 Security Misconfiguration - Säkerhetsmisskonfiguration inträffar när ett system, en applikation eller en molntjänst är felaktigt installerad från ett säkerhetsperspektiv, vilket skapar sårbarheter.

A03:2025 Software Supply Chain Failures - Misslyckanden i mjukvaruutbudskedjan är misslyckanden eller andra kompromisser i processen att bygga, distribuera eller uppdatera mjukvara. De orsakas ofta av sårbarheter eller skadliga ändringar i tredjepartskod, verktyg eller andra beroenden som systemet är beroende av.

A04:2025 Cryptographic Failures - Generellt sett bör all data under transport krypteras i transportlagret (OSI-lager 4). Föregående hinder, såsom CPU-prestanda och hantering av privata nycklar/certifikat, hanteras nu av CPU:er med instruktioner designade för att accelerera kryptering (t.ex. AES-stöd) och förenklad hantering av privata nycklar och certifikat genom tjänster som LetsEncrypt.org samt att stora molnleverantörer erbjuder mer integrerade certifikatshanteringstjänster för sina specifika plattformar. Utöver att säkra transportlagret är det viktigt att avgöra vilken data som behöver krypteras i viloläge samt vilken data som behöver extra kryptering under transport (på applikationsnivån, OSI-lager 7). Till exempel kräver lösenord, kreditkortsnummer, hälsojournaler, personlig information och affärshemligheter extra skydd, särskilt om den datan omfattas av integritetslagar, t.ex. EU:s allmänna dataskyddsförordning (GDPR), eller regler som PCI Data Security Standard (PCI DSS).

A05:2025 Injection - En injektionssårbarhet är ett systemfel som tillåter en angripare att infoga skadlig kod eller kommandon (så som SQL- eller skal-kod) i ett programs inmatningsfält, vilket luras systemet till att utföra koden eller kommandona som om de var en del av systemet. Detta kan leda till allvarliga konsekvenser.

A06:2025 Insecure Design - Osäker design är en bred kategori som representerar olika svagheter, uttryckta som "saknad eller otillräcklig kontrolldesign". Osäker design är inte källan till alla andra riskkategorier i Top Ten. Notera att det finns ett skillnaden mellan osäker design och osäker implementation. Vi skiljer på designfel och implementationsdefekt av en anledning; de har olika rotorsaker, inträffar på olika tidpunkter i utvecklingsprocessen och har olika åtgärder. En säker design kan fortfarande ha implementationsdefekter som leder till sårbarheter som kan utnyttjas. En osäker design kan inte fixas med en perfekt implementation eftersom nödvändiga säkerhetskontroller aldrig skapades för att försvara sig mot specifika attacker. En av faktorerna som bidrar till osäker design är bristen på affärsriskprofilering som är inneboende i den mjukvara eller det system som utvecklas, och därmed misslyckandet att avgöra vilken nivå av säkerhetsdesign som krävs.

A07:2025 Authentication Failures - När en angripare kan lura ett system till att erkänna en ogiltig eller felaktig användare som legitim, är denna sårbarhet närvarande.

A08:2025 Software or Data Integrity Failures - Särbarheter i mjukvara eller dataintegritet avser kod och infrastruktur som inte skyddar mot att ogiltig eller opålitlig kod eller data behandlas som pålitlig och giltig. Ett exempel på detta är när en applikation är beroende av pluginar, bibliotek eller moduler från opålitliga källor, lagrar och innehållsdistributionsnätverk (CDN:s). En osäker CI/CD-pipeline utan att konsumera och tillhandahålla mjukvaruintegritet kontroller kan introducera potentialen för obehörig åtkomst, osäker eller skadlig kod, eller systemkompromiss. Ett annat exempel är en CI/CD som drar kod eller artefakter från opålitliga platser och/eller inte verifierar dem innan användning (genom att kontrollera signatur eller liknande mekanism).

A09:2025 Security Logging & Alerting Failures - Utan loggning och övervakning kan attacker och intrång inte detekteras, och utan alarmering är det mycket svårt att agera snabbt och effektivt under ett säkerhetsincident. Otillräcklig loggning, kontinuerlig övervakning, detektering och alarmering för att initiera aktiva reaktioner inträffar när som helst

A10:2025 Mishandling of Exceptional Conditions - Hantering av undantagsvillkor i mjukvara inträffar när program misslyckas med att förhindra, detektera och reagera på ovanliga och oförutsedda situationer, vilket leder till krascher, oförväntat beteende och ibland sårbarheter. Detta kan involvera en eller flera av följande tre misslyckanden; applikationen förhindrar inte att en ovanlig situation sker, detekterar inte situationen när den sker, och/eller svarar dåligt eller inte alls på situationen efteråt.

Vi kommer att diskutera och presentera praktiska aspekter av:

Broken Access Control
- Praktiska exempel på brustna åtkomstkontroller
- Säkra åtkomstkontroller och bästa praxis

Security Misconfiguration
- Exempel från verkligheten på misskonfigurationer
- Steg för att förhindra misskonfiguration, inklusive konfigurationshantering och automatiseringsverktyg

Cryptographic Failures
- Detaljerad analys av kryptografiska misslyckanden såsom svaga krypteringsalgoritmer eller felaktig nyckelhantering
- Vikten av starka kryptografiska mekanismer, säkra protokoll (SSL/TLS) och exempel på modern kryptografi i webbsäkerhet

Injection Attacks
- Detaljerad genomgång av SQL, NoSQL, OS- och LDAP-injektion
- Mitigationstekniker med hjälp av förberedda uttryck, parameteriserade frågor och escaping av inmatning

Insecure Design
- Vi kommer att utforska designfel som kan leda till sårbarheter, som felaktig inmatningsvalidering
- Vi kommer att studera strategier för säker arkitektur och principer för säker design

Authentication Failures
- Vanliga autentiseringsproblem
- Säkra autentiseringsstrategier, som multifaktorautentisering och korrekt sessionshantering

Software and Data Integrity Failures
- Fokus på problem som opålitlig mjukvaruuppdatering och dataförfalskning
- Säkra uppdateringsmekanismer och dataintegritetkontroller

Security Logging and Monitoring Failures
- Vikten av att logga säkerhetsrelevanta uppgifter och övervaka misstänkt aktivitet
- Verktyg och praxis för korrekt loggning och realtidsövervakning för att detektera intrång tidigt