OWASP Top 10 2025 Schulung

A01:2025 - Gebrochene Zugriffssteuerung
A02:2025 - Sicherheitsfalschkonfiguration
A03:2025 - Fehlschläge in der Software-Supply-Chain
A04:2025 - Kryptografische Fehlschläge
A05:2025 - Injektion
A06:2025 - Unsicheres Design
A07:2025 - Authentifizierungsfehler
A08:2025 - Fehlschläge bei der Integrität von Software oder Daten
A09:2025 - Fehlschläge bei Sicherheitsprotokollierung und Alarmierung
A10:2025 - Umgang mit Ausnahmefällen

A01:2025 Gebrochene Zugriffssteuerung - Die Zugriffssteuerung erzwingt Richtlinien, sodass Benutzer nicht ausserhalb ihrer beabsichtigten Berechtigungen handeln können. Fehlschläge führen typischerweise zur unbefugten Offenlegung, Änderung oder Zerstörung von Daten oder zur Ausführung einer Geschäftsfunktion ausserhalb der Grenzen des Benutzers.

A02:2025 Sicherheitsfalschkonfiguration - Eine Sicherheitsfalschkonfiguration liegt vor, wenn ein System, eine Anwendung oder ein Cloud-Dienst aus Sicherheitsgesichtspunkten falsch konfiguriert wird, wodurch Schwachstellen entstehen.

A03:2025 Fehlschläge in der Software-Supply-Chain - Fehlschläge in der Software-Supply-Chain sind Störungen oder andere Kompromittierungen in den Prozessen des Baus, der Verteilung oder der Aktualisierung von Software. Sie werden oft durch Schwachstellen oder böswillige Änderungen in Drittcode, Tools oder anderen Abhängigkeiten verursacht, auf die das System angewiesen ist.

A04:2025 Kryptografische Fehlschläge - Grundsätzlich sollten alle Daten im Transit auf der Transportebene (OSI-Schicht 4) verschlüsselt werden. Frühere Hürden wie CPU-Leistung und das Management privater Schlüssel/Zertifikate werden nun durch CPUs mit Instruktionen zur Beschleunigung der Verschlüsselung (z. B. AES-Unterstützung) und vereinfachtem Management von privaten Schlüsseln und Zertifikaten durch Dienste wie LetsEncrypt.org bewältigt, wobei große Cloud-Anbieter noch stärker integrierte Zertifikatsmanagementdienste für ihre spezifischen Plattformen bereitstellen. Darüber hinaus ist es wichtig zu bestimmen, welche Daten im Ruhezustand verschlüsselt werden müssen und welche Daten zusätzliche Verschlüsselung im Transit (auf der Anwendungsebene, OSI-Schicht 7) benötigen. Zum Beispiel erfordern Passwörter, Kreditkartennummern, Gesundheitsakten, persönliche Informationen und Geschäftsgeheimnisse zusätzlichen Schutz, insbesondere wenn diese Daten unter Datenschutzgesetze fallen, z. B. die Allgemeine Datenchutzverordnung (GDPR) der EU, oder Vorschriften wie PCI Data Security Standard (PCI DSS).

A05:2025 Injektion - Eine Injektionsschwachstelle ist ein Systemmangel, der es einem Angreifer ermöglicht, böswilligen Code oder Befehle (wie SQL- oder Shell-Code) in die Eingabefelder eines Programms einzufügen, um das System dazu zu verleiten, den Code oder die Befehle auszuführen, als wären sie Teil des Systems. Dies kann zu wirklich ernsten Konsequenzen führen.

A06:2025 Unsicheres Design - Unsicheres Design ist eine breite Kategorie, die verschiedene Schwächen darstellt, ausgedrückt als „fehlende oder unwirksame Kontrollgestaltung“. Unsicheres Design ist nicht die Ursache für alle anderen Top-Ten-Risikokategorien. Beachten Sie, dass es einen Unterschied zwischen unsicherem Design und unsicherer Implementierung gibt. Wir unterscheiden aus einem bestimmten Grund zwischen Designfehlern und Implementierungsmängeln, da sie verschiedene Ursachen haben, zu verschiedenen Zeitpunkten im Entwicklungsprozess auftreten und verschiedene Behebungen erfordern. Ein sicheres Design kann immer noch Implementierungsmängel aufweisen, die zu ausnutzbaren Schwachstellen führen. Ein unsicheres Design kann nicht durch eine perfekte Implementierung behoben werden, da die erforderlichen Sicherheitskontrollen nie erstellt wurden, um sich gegen spezifische Angriffe zu verteidigen. Ein Faktor, der zu unsicherem Design beiträgt, ist das Fehlen eines Profilings von Geschäftsrisiken, das in der entwickelten Software oder dem System inhärent ist, und damit das Versagen, das erforderliche Niveau des Sicherheitsdesigns zu bestimmen.

A07:2025 Authentifizierungsfehler - Wenn ein Angreifer ein System dazu bringen kann, einen ungültigen oder falschen Benutzer als legitim zu erkennen, ist diese Schwachstelle vorhanden.

A08:2025 Fehlschläge bei der Integrität von Software oder Daten - Fehlschläge bei der Integrität von Software und Daten beziehen sich auf Code und Infrastruktur, die nicht gegen die Behandlung ungültiger oder nicht vertrauenswürdiger Code oder Daten als vertrauenswürdige und gültige schützen. Ein Beispiel hierfür ist, wenn eine Anwendung auf Plugins, Bibliotheken oder Module aus nicht vertrauenswürdigen Quellen, Repositories und Content Delivery Networks (CDNs) angewiesen ist. Eine unsichere CI/CD-Pipeline, die keine Softwareintegritätsprüfkonsumenten und -anbieter verwendet, kann das Potenzial für unbefugten Zugriff, unsicheren oder böswilligen Code oder Systemkompromittierung einführen. Ein weiteres Beispiel für dies ist ein CI/CD, der Code oder Artefakte aus nicht vertrauenswürdigen Stellen zieht und/oder sie vor der Verwendung nicht verifiziert (durch Prüfen der Signatur oder eines ähnlichen Mechanismus).

A09:2025 Fehlschläge bei Sicherheitsprotokollierung und Alarmierung - Ohne Protokollierung und Überwachung können Angriffe und Sicherheitslücken nicht erkannt werden, und ohne Alarmierung ist es sehr schwierig, während eines Sicherheitsvorfalls schnell und effektiv zu reagieren. Unzureichende Protokollierung, kontinuierliche Überwachung, Erkennung und Alarmierung zur Einleitung aktiver Reaktionen tritt immer dann auf

A10:2025 Umgang mit Ausnahmefällen - Der Umgang mit Ausnahmefällen in Software tritt auf, wenn Programme versagen, ungewöhnliche und unvorhersehbare Situationen zu verhindern, zu erkennen und darauf zu reagieren, was zu Abstürzen, unerwartetem Verhalten und manchmal zu Schwachstellen führt. Dies kann eine oder mehrere der folgenden drei Versagen betreffen; die Anwendung verhindert nicht, dass eine ungewöhnliche Situation eintritt, sie erkennt die Situation während ihres Eintritts nicht, und/oder sie reagiert schlecht oder gar nicht auf die Situation danach.

Wir werden praktische Aspekte der folgenden Themen diskutieren und vorstellen:

Gebrochene Zugriffssteuerung
- Praktische Beispiele für gebrochene Zugriffssteuerung
- Sichere Zugriffssteuerung und bewährte Methoden

Sicherheitsfalschkonfiguration
- Praxisnahe Beispiele für Fehlkonzessionen
- Schritte zur Vermeidung von Fehlkonzessionen, einschliesslich Konfigurationsmanagement und Automatisierungstools

Kryptografische Fehlschläge
- Detaillierte Analyse kryptografischer Fehlschläge wie schwache Verschlüsselungsalgorithmen oder unsachgemässes Schlüsselmanagement
- Wichtigkeit starker kryptografischer Mechanismen, sicherer Protokolle (SSL/TLS) und Beispiele für moderne Kryptographie in der Websicherheit

Injektionsangriffe
- Detaillierte Aufschlüsselung von SQL-, NoSQL-, OS- und LDAP-Injektion
- Minderungstechniken unter Verwendung vorbereiteter Anweisungen, parametrisierter Abfragen und Escape von Eingaben

Unsicheres Design
- Wir werden Designfehler untersuchen, die zu Schwachstellen führen können, wie unsachgemässe Eingabevalidierung
- Wir werden Strategien für sichere Architektur und sichere Designprinzipien studieren

Authentifizierungsfehler
- Häufige Authentifizierungsprobleme
- Sichere Authentifizierungsstrategien, wie Multi-Faktor-Authentifizierung und geeignete Sitzungsbearbeitung

Fehlschläge bei der Integrität von Software und Daten
- Fokus auf Probleme wie nicht vertrauenswürdige Softwareupdates und Datenmanipulation
- Sichere Aktualisierungsmechanismen und Datenintegritätsprüfungen

Fehlschläge bei Sicherheitsprotokollierung und Überwachung
- Wichtigkeit der Protokollierung sicherheitsrelevanter Informationen und der Überwachung verdächtiger Aktivitäten
- Tools und Praktiken für korrekte Protokollierung und Echtzeitüberwachung, um Sicherheitslücken frühzeitig zu erkennen