OWASP Top 10

OWASP Top10 nedir? OWASP Top Ten nəyi əhatə edir? 2021-ci il üçün OWASP Top Ten Siyahısı. Broken Access Control (Pozulmuş Giriş İdarəetməsi) nədir? Cryptographic Failures (Kriptoqrafik Uğursuzluqlar) nədir? Injection (Enjeksiyon hücumları) nədir? Insecure Design (Zəif Təhlükəsizlik Dizaynı) nədir? Security Misconfiguration (Yanlış Təhlükəsizlik Konfiqurasiyası) nədir? Vulnerable and Outdated Components (Zəif və Köhnəlmiş Komponentlər) nədir? Identification and Authentication Failures (Doğrulama və Identifikasiya Uğursuzluqları) nədir?

Telegram kanalına qoşularaq bu və digər mövzular üzrə quizlərdə iştirak edə bilərsiniz!
Telegram (Kanal): https://t.me/xakeraz_official

OWASP Top 10 nədir?

OWASP (Open Worldwide Application Security Project) – açıq mənbəli və qeyri-kommersiya təşkilatıdır. Təşkilatın əsas məqsədi proqram təminatı təhlükəsizliyini inkişaf etdirmək və dünya miqyasında təhlükəsizlik maarifləndirməsini artırmaqdır. OWASP tərəfindən hazırlanmış “Top Ten” siyahısı isə veb tətbiq təhlükəsizliyi sahəsində ən çox qəbul edilən və istinad edilən sənədlərdən biridir.

OWASP Top 10 nəyi əhatə edir?

OWASP Top Ten, veb tətbiqlərdə ən çox rast gəlinən zəifliklərin statistik, texniki və konseptual analizini təqdim edir. Bu siyahı real dünya təhlükəsizlik insidentlərinə və zəiflik hesabatlarına əsaslanaraq hazırlanır. Siyahıya düşən hər zəiflik növü aşağıdakı meyarlara əsasən qiymətləndirilir:

• Ümumi yayımlanma tezliyi (Prevalence)
• Zəifliyin aşkarlanma asanlığı (Detectability)
• Potensial təsir dərəcəsi (Impact)
• Real insidentlərdəki payı (Exploitability & Incidents)

Bunuda deyək ki OWASP şirkəti bu siyahını hər 4 ildə bir yeniləyir və sonuncu yeniləmə tarixi rəsmi saytda 2025-ci ilin birinci yarısı göstərilir.

2021-ci il üçün OWASP Top Ten Siyahısı

Broken Access Control (Pozulmuş Giriş İdarəetməsi)

Təsvir: İstifadəçilər onlara aid olmayan məlumat və funksiyalara giriş əldə edə bilirlər. Bu, sistemin düzgün şəkildə istifadəçi səlahiyyətlərini yoxlamamasından qaynaqlanır.

Real Hücum Ssenarisi:
Bir istifadəçi sadəcə URL dəyişərək /admin/delete_user?id=5 kimi bir səhifəyə daxil olur və admin imiş kimi digər istifadəçilərin hesablarını silə bilir.

Nümunələr:

• IDOR (Insecure Direct Object Reference)
• Giriş nəzarətinin yalnız frontend-də həyata keçirilməsi
• “Role-based access” sistemlərinin səhv konfiqurasiyası

Müdafiə üsulları:

• Hər sorğuda server tərəfində rol/səlahiyyət yoxlanışı
• API-lərdə hər əməliyyat üçün autentifikasiya
• “Deny by default” prinsip

Cryptographic Failures — Kriptoqrafik Uğursuzluqlar

(Əvvəlki adı: “Sensitive Data Exposure”)

Təsvir: Məlumatların şifrələnmədən ötürülməsi və/və ya zəif kriptoqrafik metodların istifadəsi nəticəsində hücumçuların məlumatlara çıxış əldə etməsi.

Real Hücum Ssenarisi:
Wi-Fi şəbəkəsinə qoşulan hücumçu HTTP üzərindən ötürülən kredit kartı məlumatlarını ələ keçirir.

Nümunələr:

• HTTPS əvəzinə HTTP istifadəsi
• MD5/SHA-1 kimi zəif alqoritmlərlə şifrə saxlanması
• Əlavə autentifikasiya tokenlərinin açıq ötürülməsi

Müdafiə üsulları:

• HTTPS məcburi şəkildə istifadə olunmalıdır (HSTS)
• Şifrələr bcrypt, argon2, PBKDF2 kimi təhlükəsiz alqoritmlərlə saxlanılmalıdır
• Şifrləmə açarları dövri olaraq yenilənməlidir

Injection — Enjeksiyon Hücumları

Təsvir: Zərərli məlumatlar veb tətbiqin komanda və sorğularına (məsələn, SQL, NoSQL, LDAP, OS, XSS) qarışır və istənməyən əmrlər icra olunur.

Real Hücum Ssenarisi:
İstifadəçi adında ' OR '1'='1 yazaraq sistemə şifrə daxil etmədən daxil olur.

Nümunələr:

• SQL Injection
• Command Injection
• Cross-site Scripting (XSS)
• LDAP Injection

Müdafiə üsulları:

• Girişlərin sanitizasiyası və validasiyası
• ORM (Object-Relational Mapping) istifadə etmək
• “Prepared statements” və “parameterized queries” tətbiq etmək

Insecure Design — Zəif Təhlükəsizlik Dizaynı

Təsvir: Təhlükəsizlik tələbləri nəzərə alınmadan yazılmış proqram təminatı və ya dizayn səhvləri. Məsələn, sistem əvvəlcədən hücumlara qarşı planlaşdırılmamış ola bilər.

Real Hücum Ssenarisi:
Mobil tətbiqdə məxfi məlumatlar cihazda açıq şəkildə saxlanır və bu məlumatlar root edilmiş cihazdan oğurlanır.

Nümunələr:

• Hücum səthinin azaldılmaması
• Səlahiyyətlənmə modelinin olmaması
• Təhdid modelləşməsinin aparılmaması

Müdafiə üsulları:

• Dizayn mərhələsində təhlükəsizlik modellərinin qurulması
• Misal: STRIDE, DREAD modellərindən istifadə
• “Security by design” yanaşması

Security Misconfiguration — Təhlükəsizlik Konfiqurasiya Səhvləri

Təsvir: Tətbiq və ya serverin zəif və ya səhv konfiqurasiya olunması nəticəsində hücumçular sistemə asanlıqla daxil ola bilirlər.

Real Hücum Ssenarisi:
Apache server default konfiqurasiyada saxlanır və /server-status səhifəsi açıq qalır.

Nümunələr:

• Default admin şifrələrinin dəyişdirilməməsi
• Debug rejiminin aktiv qalması
• Fayl və qovluqların səhv icazə hüquqları

Müdafiə üsulları:

• Avtomatlaşdırılmış təhlükəsizlik skanları
• Konfiqurasiya fayllarının təhlükəsiz saxlanması
• “Infrastructure as Code” istifadə olunarsa, təkrar auditlər

Vulnerable and Outdated Components — Zəif və Köhnəlmiş Komponentlər

Təsvir: İstifadə edilən üçüncü tərəf kitabxanalar, pluginlər və modullar köhnə və ya zəif versiyadadırsa, sistem bu zəifliklərə açıq qalır.

Real Hücum Ssenarisi:
Sayt jQuery 1.x istifadə edir və bu versiyada XSS zəifliyi mövcuddur.

Nümunələr:

• Qrafik kitabxanasının zəif versiyası
• CMS pluginlərinin yamaq edilməməsi
• Serverdə köhnəlmiş PHP və ya Python versiyası

Müdafiə üsulları:

• Komponent versiyalarını izləmək və avtomatik yeniləmə sistemləri
• SCA (Software Composition Analysis) vasitələrinin istifadəsi
• CVE (Common Vulnerabilities and Exposures) verilənlər bazasına nəzarət

Identification and Authentication Failures — Doğrulama və Identifikasiya Səhvləri

Təsvir: İstifadəçilərin identifikasiyası və autentifikasiyası zamanı zəifliklər mövcuddur. Bu, icazəsiz girişə səbəb ola bilər.

Real Hücum Ssenarisi:
Sistem 5 dəfə yanlış şifrə daxil etdikdə hələ də bloklamır və brute-force ilə şifrə tapılır.

Nümunələr:

• Şifrə sıfırlama sistemində token-in vaxt məhdudiyyəti yoxdur
• 2FA-nın olmaması
• Sessiyaların oğurlana bilməsi

Müdafiə üsulları:

• 2FA və ya MFA tətbiq etmək
• Şifrə siyasətləri (minimum uzunluq, komplekslik və s.)
• Sessiya idarəçiliyi və “timeout” mexanizmləri

Software and Data Integrity Failures — Proqram və Məlumat Bütünlüyünün Pozulması

Təsvir: Proqram təminatı və məlumatların dəyişdirilərək istifadəçiyə təqdim edilməsi. Bu, əsasən CI/CD boru kəmərlərində zəif autentifikasiya və ya imza yoxlamalarının olmaması ilə bağlı olur.

Real Hücum Ssenarisi:
CDN vasitəsilə gələn JS faylı hücumçu tərəfindən dəyişdirilib və istifadəçi brauzerində məlumat oğurlayır.

Nümunələr:

• CI/CD sistemlərinin təhlükəsiz qurulmaması
• Update sistemlərinin imzasız olması
• Zəif Docker imicləri

Müdafiə üsulları:

• Kod və faylların rəqəmsal imzalanması
• Supply Chain Attack monitorinqi
• CI/CD boru kəmərində təhlükəsizlik nəzarətləri

Security Logging and Monitoring Failures — Təhlükəsizlik Qeydlərinin və Monitorinqin Zəifliyi

Təsvir: Hücum cəhdləri qeydə alınmır və analiz edilmir. Nəticədə hücumlar uzun müddət davam edə bilir.

Real Hücum Ssenarisi:
Admin panelinə uğursuz giriş cəhdləri günlərlə davam edir, lakin heç bir xəbərdarlıq və bloklama olmur.

Nümunələr:

• Log faylların şifrə ilə qorunmaması
• Alert sistemlərinin olmaması
• SIEM sisteminin inteqrasiya edilməməsi

Müdafiə üsulları:

• Təhlükəsizlik hadisələrinin qeydə alınması və analiz edilməsi
• SIEM, ELK Stack kimi alətlərdən istifadə
• Təhlükəsizlik komandası üçün real-time alert sistemi

Server-Side Request Forgery (SSRF) — Server Tərəfli Sorğu Aldatma

Təsvir: Hücumçu serveri aldadaraq daxili sistemlərə sorğu göndərməsini təmin edir. SSRF, xüsusilə cloud mühitlərdə kritik nəticələrə səbəb ola bilər.

Real Hücum Ssenarisi:
Hücumçu şəkil yükləmə funksiyası vasitəsilə http://localhost:8000/admin ünvanına serverin daxil olmasını təmin edir.

Nümunələr:

• Daxili metadata server-ə (169.254.169.254) sorğu
• SSRF ilə port scanning
• Daxili admin panellərə çıxış

Müdafiə üsulları:

• Giriş URL-lərinin validasiyası
• Server tərəfindən çıxış sorğularına məhdudiyyət (IP allowlist/denylist)
• SSRF filtr modulları (WAF və ya reverse proxy səviyyəsində)

Ətraflı məlumat üçün https://owasp.org/www-project-top-ten/ saytından maraqlana bilərsiniz.

Praktika üçün və ya laborotoriya üçün https://tryhackme.com/room/owasptop10 saytında OWASP Top 10 labarotoriyası ilə daha yaxşı qavraya bilərsiniz.

Ümid varam faydalı olmuşdur! Oxuduğunuz üçün təşəkkürlər!

Bizi izləyin:

Telegram (Kanal): https://t.me/xakeraz_official
Paylaşımların səliqəli yığılmış halı: https://t.me/xakerazgroup
Fikir və şərhləriniz : https://t.me/xakerazchat