OWASP Top 10 2025: разбор уязвимостей

OWASP Top 10 — это список самых критичных рисков веб-безопасности, на который ориентируются разработчики, DevSecOps, QA и владельцы продуктов. Ниже — краткий и практичный разбор категорий, которые чаще всего приводят к утечкам, взломам и потере доверия пользователей.

• • 1. Broken Access Control

  Нарушение контроля доступа — одна из самых опасных проблем. Пользователь получает доступ к чужим данным или функциям, которые ему не положены.

  Пример: обычный пользователь меняет user_id в URL и открывает чужой профиль или заказы.

  Как защититься: проверять права на сервере, использовать RBAC/ABAC, запрещать доступ по умолчанию.

• • 2. Cryptographic Failures

  Ошибки в шифровании и хранении чувствительных данных.

  Пример: пароли хранятся в MD5 или данные передаются без TLS.

  Как защититься: использовать TLS 1.2+, bcrypt/Argon2 для паролей, не хранить лишние персональные данные.

• • 3. Injection

  Внедрение вредоносных команд в SQL, NoSQL, LDAP, shell и другие интерпретаторы.

  Пример: SQL-инъекция через форму логина позволяет обойти авторизацию.

  Как защититься: параметризованные запросы, ORM, валидация ввода, отказ от конкатенации строк в запросах.

• • 4. Insecure Design

  Уязвимость не в коде, а в архитектуре и логике продукта.

  Пример: отсутствие лимита попыток входа делает возможным brute force.

  Как защититься: threat modeling, secure-by-design, abuse-case сценарии еще на этапе проектирования.

• • 5. Security Misconfiguration

  Неверные настройки серверов, контейнеров, фреймворков, облака.

  Пример: открытая админка, включенный debug mode на проде, S3-бакет без ограничений.

  Как защититься: hardening, отключение лишних сервисов, безопасные дефолтные конфиги, регулярный аудит. ⚙️

• • 6. Vulnerable and Outdated Components

  Использование библиотек и платформ с известными CVE.

  Пример: старый Log4j или уязвимый плагин CMS.

  Как защититься: SCA-сканеры, SBOM, регулярные обновления зависимостей, контроль EOL-компонентов.

• • 7. Identification and Authentication Failures

  Проблемы с аутентификацией, сессиями и управлением учетными данными.

  Пример: слабые пароли, отсутствие MFA, предсказуемые session ID.

  Как защититься: MFA, безопасные cookie, rate limiting, защита от credential stuffing. 🔑

• • 8. Software and Data Integrity Failures

  Нарушение целостности ПО, CI/CD, обновлений и внешних данных.

  Пример: приложение автоматически подтягивает непроверенные пакеты из внешнего источника.

  Как защититься: подпись артефактов, проверка хэшей, доверенные репозитории, защита pipeline. 🚀

• • 9. Security Logging and Monitoring Failures

  Недостаточное логирование и отсутствие мониторинга мешают вовремя заметить атаку.

  Пример: взлом произошел неделю назад, но команда узнала об этом только после жалоб клиентов.

  Как защититься: централизованные логи, SIEM, алерты по аномалиям, фиксация событий входа и изменений прав. 📊

• • 10. Server-Side Request Forgery (SSRF)

  Сервер по запросу атакующего обращается к внутренним ресурсам.

  Пример: функция загрузки по URL позволяет читать метаданные облака или сканировать внутреннюю сеть.

  Как защититься: allowlist адресов, фильтрация URL, запрет доступа к внутренним IP и metadata endpoints. 🌐