OWASP Top 10 2025培訓

A01:2025 - 存取控制失效
A02:2025 - 安全設定錯誤
A03:2025 - 軟體供應鏈故障
A04:2025 - 加密機制失效
A05:2025 - 注入攻擊
A06:2025 - 不安全設計
A07:2025 - 身份驗證失效
A08:2025 - 軟體或資料完整性故障
A09:2025 - 安全記錄與警示失效
A10:2025 - 例外狀況處理不當

A01:2025 存取控制失效 - 存取控制執行策略，確保使用者無法超出其預設權限執行操作。失效通常會導致未授權的資訊洩露、修改或破壞所有資料，或執行超出使用者限制的业务功能。

A02:2025 安全設定錯誤 - 安全設定錯誤是指系統、應用程式或雲端服務在安全視角下設置不當，從而產生漏洞。

A03:2025 軟體供應鏈故障 - 軟體供應鏈故障是指在構建、分發或更新軟體過程中發生的中斷或其他妥協。這通常是由於系統依賴的第三方程式碼、工具或其他組件中的漏洞或惡意更改所導致。

A04:2025 加密機制失效 - 一般而言，所有傳輸中的資料都應在傳輸層（OSI 第 4 層）進行加密。過去如 CPU 效能及私鑰/憑證管理等障礙，現在已由具備加速加密指令（例如：AES 支援）的 CPU 處理，以及由 LetsEncrypt.org 等服務簡化的私鑰和憑證管理（主要雲端供應商甚至為其特定平台提供更緊密整合的憑證管理服務）。除了確保傳輸層安全外，確定哪些資料需要在靜止時加密，以及哪些資料需要在傳輸中（應用層，OSI 第 7 層）進行額外加密也很重要。例如，密碼、信用卡號、健康記錄、個人資訊和商业機密需要額外保護，特別是當這些資料受隱私法律（如歐盟《通用資料保護規則》（GDPR））或法規（如 PCI 資料安全標準（PCI DSS））約束時。

A05:2025 注入攻擊 - 注入漏洞是一種系統缺陷，允許攻擊者將惡意程式碼或命令（例如 SQL 或 shell 程式碼）插入程式的輸入欄位，誤導系統將其執行為系統的一部分。這可能導致真正嚴重的後果。

A06:2025 不安全設計 - 不安全設計是一個廣泛的類別，代表不同的弱點，表現為「缺少或無效的控制設計」。不安全設計並非所有其他 Top 10 風險類別的根源。注意，不安全設計與不安全實現之間存在差異。我們區分設計缺陷與實現缺陷是有原因的，因為它們的根本原因不同，發生在開發過程的不同階段，且修復方式也不同。安全的設計仍可能因實現缺陷而產生可利用的漏洞。而不安全的設計無法通過完美的實現來修復，因為所需的特定攻擊防禦安全控制措施從未被創建。導致不安全設計的因素之一是缺乏開發軟體或系統中固有的業務風險剖析，從而無法確定所需的安全設計級別。

A07:2025 身份驗證失效 - 當攻擊者能夠誤導系統將無效或錯誤的用戶識別為合法用戶時，即存在此漏洞。

A08:2025 軟體或資料完整性故障 - 軟體和資料完整性故障涉及未保護免受無效或不可信程式碼或資料被視為可信和有效的基礎設施和程式碼。一個例子是應用程式依賴於來自不可信來源、儲存庫和内容交付網絡（CDN）的插件、函式庫或模組。一個不安全的 CI/CD 管道如果未消費和提供軟體完整性檢查，可能會引入未授權存取、不安全或惡意程式碼或系統妥協的潛力。另一個例子是 CI/CD 從不可信的地方拉取程式碼或產物，和/或在未經核實（透過檢查簽名或類似機制）前便使用它們。

A09:2025 安全記錄與警示失效 - 若無記錄和監控，攻擊和洩露事件無法被檢測；若無警示，在安全事件期間很難快速有效地作出回應。任何時候發生的記錄不足、連續監控、檢測和警示以啟動主動回應均屬此類。

A10:2025 例外狀況處理不當 - 軟體中例外狀況處理不當發生在程式無法預防、檢測和回應異常且不可預見的情況時，這會導致崩潰、意外行為，有時甚至導致漏洞。這可能涉及以下三項失敗之一或多項：應用程式未能防止異常情況發生、未能在情況發生時識別該情況，和/或在情況發生後回應不佳或根本沒有回應。

我們將討論並呈現以下實用方面：

存取控制失效
- 存取控制失效的實用範例
- 安全的存取控制及最佳實務

安全設定錯誤
- 設定錯誤的真實世界範例
- 防止設定錯誤的步驟，包括設定管理和自動化工具

加密機制失效
- 對加密機制失效（如弱加密演算法或不當的鑰匙管理）的詳細分析
- 強大加密機制、安全協定（SSL/TLS）以及 Web 安全中現代加密範例的重要性

注入攻擊
- 對 SQL、NoSQL、OS 和 LDAP 注入的詳細解析
- 使用預編譯聲明、參數化查詢和輸入逸出進行緩解的技術

不安全設計
- 我們將探討可能導致漏洞的設計缺陷，例如輸入驗證不當
- 我們將研究安全架構和 security 設計原則的策略

身份驗證失效
- 常見的身份驗證問題
- 安全的身份驗證策略，例如多因素身份驗證和適當的會話處理

軟體和資料完整性故障
- 關注不可信軟體更新和資料篡改等問題
- 安全的更新機制和資料完整性檢查

安全記錄與監控失效
- 記錄安全相關資訊和監控可疑活動的重要性
- 用於適當記錄和即時監控以早期檢測洩露的工具和實務