OWASP Top 10 a WSTG: jaký je mezi nimi rozdíl

Oba dokumenty vydává OWASP, ale každý odpovídá na jinou otázku. Top 10 na otázku „čeho se bát“, WSTG na otázku „jak to ověřit“.

OWASP Top 10 je přehled deseti kategorií rizik webových aplikací, sestavený z dat o výskytu slabin v reálných aplikacích a doplněný průzkumem mezi odborníky. Vychází v edicích označených rokem a slouží hlavně k osvětě a ke sjednocení slovníku mezi bezpečností a vývojem.

Jeho síla je v tom, že se dá přečíst za hodinu a že mu rozumí i netechnický člověk. Jeho limit je tatáž stručnost: deset položek nemůže pokrýt vše, co se v aplikacích zneužívá, a záměrně to ani nezkouší. Podrobný rozbor kategorií má samostatné heslo o struktuře a edicích Top 10.

OWASP WSTG, celým názvem Web Security Testing Guide, je testovací příručka. Pro každou oblast popisuje, co se testuje, jakým postupem, co je očekávaný výsledek a jak nález vypadá. Stabilní verze je 4.2 a jednotlivé testy mají vlastní označení, kterým se dá odkazovat v reportu.

Příručka nestanovuje, co je závažné, ani neurčuje, co se testovat musí. Je to katalog postupů, ze kterého si tester vybírá podle rozsahu zakázky a typu aplikace. Jak se čte označení testů a co obsahuje dvanáct oblastí, rozebírá heslo o obsahu a značení WSTG.

Test omezený na Top 10 vynechá celé oblasti, které v přehledu rizik nejsou, protože se do deseti položek nevešly. Nejde o okrajové věci: chybí business logika, práce s relacemi napříč rolemi, chování aplikace na hranicích limitů i většina toho, co se testuje na klientské straně.

• Chyby v business logice: objednávka se dá dokončit se změněnou cenou, sleva se dá uplatnit opakovaně, schvalovací krok se dá přeskočit.
• Souběh operací: dva požadavky poslané ve stejný okamžik projdou oba, přestože měl projít jen jeden.
• Testy specifické pro API: chybějící kontrola na úrovni jednotlivého objektu, verzování rozhraní, zapomenuté starší endpointy.
• Chování při chybě: aplikace v reakci na neočekávaný vstup prozradí vnitřní strukturu nebo skončí v propustném stavu.
• Klientská strana: manipulace s daty v prohlížeči, ukládání citlivých údajů mimo relaci, obcházení kontrol provedených jen v rozhraní.

Druhý problém je měřitelnost. Zadání „podle Top 10“ nemá jak ověřit splnění, protože nedefinuje ani počet, ani hloubku úkonů. Zadání odkazující na konkrétní oblasti příručky se ověřit dá, protože každý test v ní má vlastní identifikátor.

Plný rozsah podle WSTG znamená, že se projde všech dvanáct oblastí a v každé se vyberou testy, které na danou aplikaci sedí. Nikdy to neznamená mechanické odbavení všech testů: příručka obsahuje i postupy pro technologie, které vaše aplikace vůbec nepoužívá.

Rozdíl proti kontrole podle Top 10 je v tom, že u každé oblasti je doložitelné, co se dělalo a s jakým výsledkem. Report pak není seznam nálezů bez kontextu, ale mapa pokrytí. Jak vypadá test v plném rozsahu podle příručky, popisuje servisní stránka.

Top 10 jako rámec kontroly stačí ve třech situacích: u interního nástroje bez citlivých dat a bez přístupu z internetu, u první rychlé kontroly startupu, který potřebuje vědět, jestli nemá zásadní díru, a jako vstupní školení pro vývojový tým, který s bezpečností teprve začíná.

Zvolte Top 10, pokud potřebujete rychlý obraz a rozhodujete se, jestli má vůbec smysl investovat do plného testu. Zvolte postup podle příručky, pokud aplikace zpracovává osobní nebo platební údaje, pokud je dostupná z internetu, nebo pokud výstup potřebujete doložit auditorovi či zákazníkovi.