لماذا تهم
تحتاج الفرق والمختبرون والمشترون إلى لغة مشتركة. فحين يقول المختبر «كسر التحكم في الصلاحيات» أو «الحقن» يفهم الجميع نوع الخلل المقصود. وتبنى القائمة على بيانات عن ثغرات حقيقية وعلى آراء الخبراء، وتحدثها OWASP كل بضع سنوات مع تغير الهجمات.
ما الذي تتضمنه
تتغير الفئات من إصدار إلى آخر، لكن المحاور ثابتة. ومن المحاور المتكررة ما يلي.
- كسر التحكم في الصلاحيات: يتصرف المستخدم خارج صلاحياته، مثل تغيير رقم معرف في الرابط.
- إخفاقات التشفير: حماية ضعيفة أو غائبة للبيانات أثناء النقل أو التخزين.
- الحقن: تنفذ مدخلات غير موثوقة كأمر أو استعلام، كما في حقن SQL. والبرمجة النصية عبر المواقع نوع من الحقن أيضا.
- التصميم غير الآمن: تفتقر الخطة نفسها إلى ضابط لازم، وهذا ما تهدف نمذجة التهديدات إلى كشفه.
- سوء الإعداد الأمني: إعدادات افتراضية غير آمنة وخدمات مفتوحة وترويسات ناقصة.
- المكونات القديمة أو المعرضة للثغرات: مكتبات فيها عيوب معروفة.
- إخفاقات المصادقة: تسجيل دخول ضعيف، أو غياب المصادقة متعددة العوامل حيث يلزم.
كيف تستخدمها الفرق
استخدمها في تشكيل التدريب وقوائم مراجعة الشيفرة وخطط الاختبار. وإن أردت قائمة متطلبات مفصلة للتحقق منها فلدى OWASP معيار التحقق من أمان التطبيقات (ASVS). واعتبر القائمة حدا أدنى لا حدا أعلى، فقد يتجنب التطبيق كل بنودها ويبقى فيه عيب خطير في منطقه الخاص.
أخطاء شائعة
- اعتبار «غطينا القائمة» بمعنى «نحن آمنون».
- قراءتها كقائمة مهام منفصلة بدل أن تكون دافعا لسؤال: ما الذي قد يسوء في منتجنا نحن؟
- الاعتماد على إصدار قديم دون التحقق من أحدث إصدار.
مصطلحات ذات صلة
تصنف نتائج اختبار الاختراق كثيرا بحسب هذه الفئات. وقائمة الأمان الافتراضي للويب لدينا نقطة انطلاق عملية.