OWASP Top 10 — классификация рисков веб-приложений
10 категорий OWASP Top 10 (2021)
Каждая категория содержит связанные типы CWE и модуль КиберОснова для защиты.
Нарушение контроля доступа
Broken Access Control
Пользователи действуют за пределами назначенных прав. Эскалация привилегий, доступ к чужим данным, изменение прав.
Криптографические ошибки
Cryptographic Failures
Слабая криптография, открытая передача данных, использование устаревших алгоритмов (MD5, SHA-1, DES).
Инъекции
Injection
Внедрение вредоносного кода через пользовательский ввод: SQL, XSS, OS Command, LDAP, XPath.
Небезопасное проектирование
Insecure Design
Архитектурные ошибки, отсутствие моделирования угроз, недостаточный контроль бизнес-логики.
Ошибки конфигурации
Security Misconfiguration
Небезопасные настройки по умолчанию, открытые порты, лишние сервисы, избыточные права.
Уязвимые компоненты
Vulnerable and Outdated Components
Использование библиотек и компонентов с известными уязвимостями. Отсутствие обновлений.
Ошибки аутентификации
Identification and Authentication Failures
Слабые пароли, отсутствие MFA, захардкоженные credentials, brute-force.
Нарушение целостности ПО и данных
Software and Data Integrity Failures
Небезопасная десериализация, атаки на CI/CD, подмена зависимостей (supply chain).
Недостаточное логирование и мониторинг
Security Logging and Monitoring Failures
Отсутствие логов, алертов и реагирования на инциденты. Атаки остаются незамеченными.
Подделка серверных запросов (SSRF)
Server-Side Request Forgery (SSRF)
Приложение отправляет запросы к внутренним ресурсам по указанию атакующего.
Как использовать OWASP Top 10 для аудита ИБ по приказам ФСТЭК
OWASP Top 10 — международно признанный рейтинг рисков безопасности веб-приложений. Приказы ФСТЭК России (№117, №21, №239) содержат меры защиты, которые покрывают те же риски: группы АНЗ (анализ уязвимостей), ОЦЛ (целостность), ЗИС (защита информационных систем) и УПД (управление доступом).
Каждая категория OWASP маппится на типы CWE, а реестр БДУ ФСТЭК классифицирует уязвимости по тем же CWE-идентификаторам. Это позволяет оценить, какие категории OWASP актуальны для вашей инфраструктуры, и приоритизировать меры защиты. При построении модели угроз OWASP Top 10 служит чеклистом полноты: если модель не учитывает инъекции (A03), нарушение контроля доступа (A01) или ошибки криптографии (A02) — в ней есть пробелы. КиберОснова SGRC автоматизирует этот анализ, ежедневно синхронизируя данные с БДУ ФСТЭК.
Автоматизируйте мониторинг OWASP Top 10
КиберОснова SGRC: мониторинг БДУ ФСТЭК по всем категориям OWASP, CWE-аналитика, SLA по приказу №117.