L'OWASP Top 10 per chi deve decidere

L'OWASP Top 10 è un elenco molto usato dei rischi più gravi per la sicurezza delle applicazioni web. I tester lo usano come punto di partenza. Tu puoi usarlo per fare domande migliori.

Domande utili da fare al tuo team

• Controllo degli accessi: un utente può raggiungere i dati di un altro cambiando un numero nell'indirizzo?
• Injection: tutto ciò che l'utente scrive è trattato come dato, mai come comando?
• Autenticazione: come sono conservate le password, e c'è un secondo fattore?
• Configurazioni errate: account predefiniti, pagine di debug e archivi aperti sono stati rimossi?
• Componenti: sai quali librerie usi e se sono aggiornate?
• Log: ti accorgeresti di un attacco, e potresti indagare dopo?

Una cautela

L'elenco è una mappa di categorie, non una checklist che dimostra che sei al sicuro. Un buon test va oltre, nel modo in cui funziona la tua applicazione.