Вопрос или проблема
Существует OWASP Top 10, который является самым известным: https://owasp.org/www-project-top-ten/
И есть OWASP Top 10 API: https://owasp.org/www-project-api-security/
Обе списки очень похожи, поэтому я запутался, почему существуют 2 списка, учитывая, что API очень похожи на веб-приложения. И еще один момент: список API обновлен (2023 год), в то время как последний раз обычный список обновлялся в 2021 году.
Так в чем разница между этими 2 списками, созданными OWASP? И какой список мне следует использовать, если я тестирую веб-приложение, exposing APIs?
На самом деле существует множество различий, и, возможно, некоторые из них имеют схожие названия, но порядок и содержание различны.
Цель OWASP заключается в предоставлении рекомендаций по безопасности приложений (OWASP – Open Worldwide Application Security Project), и API также являются частью этого. Существует TOP 10 для тех, кто интересуется уязвимостями, основанными на API, так же как существует TOP 10 для безсерверных технологий (см. здесь), который также затрагивает проблемы безопасности приложений.
Каждое приложение необходимо рассматривать отдельно, API – это отдельное приложение.
Цель списков Top 10 – коммуникация, повышение осведомленности.
Если вы уже знакомы со списком Top 10, существуют и другие списки от OWASP, которые более специфичны. Если вы углубитесь в эти списки, имеет смысл подразделить меры безопасности на специфические для API. Существует много таких мер, которые касаются только API.
Поскольку не каждое программное обеспечение имеет API, было бы целесообразнее для коллективного проекта создать несколько списков/проектов. Например, также существует список, специфичный для мобильных приложений.
Ответ или решение
Разница между OWASP Top 10 и OWASP Top 10 API
OWASP (Open Worldwide Application Security Project) — это международная организация, которая занимается повышением уровня безопасности программного обеспечения. Одной из её наиболее известных инициатив является список OWASP Top 10, который фокусируется на самых распространённых уязвимостях веб-приложений. Однако в последние годы ситуация изменилась, и появилась необходимость в отдельном списке — OWASP Top 10 API, который охватывает уязвимости, специфичные для API.
Основные различия между OWASP Top 10 и OWASP Top 10 API
-
Область применения:
- OWASP Top 10: Этот список охватывает уязвимости, которые могут возникнуть в рамках веб-приложений и включает такие аспекты, как задания для пользователей, аутентификация и угроза XSS. Он ориентирован на общие проблемы, присущие веб-приложениям.
- OWASP Top 10 API: Этот список фокусируется исключительно на уязвимостях API. С учётом того, что API часто служат мостами между различными системами и могут подвергаться атакам, необходима детальная оценка именно их безопасности.
-
Обновления и содержание:
- На момент написания, последний список OWASP Top 10 был обновлён в 2021 году, в то время как OWASP Top 10 API был обновлён в 2023 году. Это говорит о том, что уязвимости API становятся всё более актуальными и требуют обновлённых рекомендаций.
- Несмотря на то, что некоторые пункты могут пересекаться (например, неправильная аутентификация), порядок, содержание и акценты могут существенно различаться в зависимости от специфики каждой категории.
-
Целевая аудитория и коммуникация:
- Списки предназначены для различной аудитории. OWASP Top 10 ориентирован на разработчиков веб-приложений, управляющих уязвимостями в целом. В то же время OWASP Top 10 API нацелен на разработчиков и архитекторов, работающих непосредственно с API и сервисами, которые требуют особых мер безопасности.
- Эти списки призваны повысить осведомлённость о вопросах безопасности, обращая внимание на наиболее критичные риски для каждой технологии.
Какой список следует применять?
Если вы тестируете веб-приложение, которое использует API, рекомендуется обратить внимание на оба списка, но с акцентом на OWASP Top 10 API. Причина заключается в том, что API имеет собственные уникальные уязвимости и риски, которые могут не быть отражены в традиционном списке.
Каждое приложение и API должны рассматриваться отдельно из-за различных архитектурных и функциональных подходов. Как указано, существование отдельных списков, таких как OWASP Top 10 для мобильных приложений и серверлесс-архитектур, подчеркивает необходимость многоуровневой оценки безопасности, учитывающей специфику каждого типа приложения.
Заключение
Разделение OWASP Top 10 и OWASP Top 10 API предоставляет возможность более сфокусированного и детального анализа уязвимостей в разных типах программных решений. Рекомендуется активно использовать OWASP Top 10 API при работе с веб-приложениями, использующими API, чтобы обеспечить безопасность вашего программного обеспечения в соответствии с современными стандартами и угрозами.
Эти списки не являются исчерпывающими, но они очень полезны для первичной оценки, а также для формирования стратегии по обеспечению безопасности ваших приложений.