OWASP Top 10 2025 Schulung

A01:2025 - Fehlende Zugriffskontrolle
A02:2025 - Falsche Sicherheitskonfiguration
A03:2025 - Fehlende Integrität der Softwarelieferkette
A04:2025 - Verschlüsselungsmängel
A05:2025 - Injektionen
A06:2025 - Unsicheres Design
A07:2025 - Authentifizierungsfehler
A08:2025 - Fehlende Integrität von Software oder Daten
A09:2025 - Fehlende Sicherheitsprotokollierung und Benachrichtigungen
A10:2025 - Unzureichende Behandlung von Ausnahmezuständen

A01:2025 Fehlende Zugriffskontrolle - Die Zugriffskontrolle durchsetzt Richtlinien, sodass Benutzer nicht über ihre beabsichtigten Berechtigungen hinaus agieren können. Fehler führen typischerweise zur unbefugten Offenlegung, Änderung oder Zerstörung aller Daten oder zur Ausführung einer Geschäftsfunktion außerhalb der Benutzerlimits.

A02:2025 Falsche Sicherheitskonfiguration - Eine falsche Sicherheitskonfiguration liegt vor, wenn ein System, eine Anwendung oder ein Cloud-Dienst aus Sicherheitsgesichtspunkten falsch eingerichtet ist, wodurch Schwachstellen entstehen.

A03:2025 Fehlende Integrität der Softwarelieferkette - Fehlende Integrität der Softwarelieferkette bedeutet Zusammenbrüche oder andere Kompromittierungen im Prozess des Aufbaus, der Verteilung oder der Aktualisierung von Software. Sie werden oft durch Schwachstellen oder bösartige Änderungen im Code, in Tools oder anderen Abhängigkeiten Dritter verursacht, auf die das System angewiesen ist.

A04:2025 Verschlüsselungsmängel - Grundsätzlich sollte alle Daten im transit auf der Transportschicht (OSI-Schicht 4) verschlüsselt werden. Frühere Hürden wie CPU-Leistung und das Management von privaten Schlüsseln/Zertifikaten werden heute durch CPUs behoben, die über Anweisungen zur Beschleunigung der Verschlüsselung (z. B. AES-Unterstützung) verfügen, und das Management von privaten Schlüsseln und Zertifikaten wurde durch Dienste wie LetsEncrypt.org vereinfacht, wobei große Cloud-Anbieter noch stärker integrierte Zertifikatsverwaltungsdienste für ihre jeweiligen Plattformen anbieten. Über die Absicherung der Transportschicht hinaus ist es wichtig festzustellen, welche Daten bei der Speicherung verschlüsselt werden müssen und welche Daten zusätzliche Verschlüsselung im transit (auf der Anwendungsschicht, OSI-Schicht 7) erfordern. Beispielsweise erfordern Passwörter, Kreditkartendaten, Gesundheitsdaten, personenbezogene Informationen und Geschäftsgeheimnisse zusätzlichen Schutz, insbesondere wenn diese Daten unter Datenschutzgesetze fallen, z. B. die Datenschutz-Grundverordnung (DSGVO) der EU, oder unter Regulierungen wie den PCI Data Security Standard (PCI DSS).

A05:2025 Injektionen - Eine Injektionsschwachstelle ist ein Systemfehler, der es einem Angreifer erlaubt, bösartigen Code oder Befehle (wie SQL- oder Shell-Code) in die Eingabefelder eines Programms einzuschleusen, um das System dazu zu bringen, diesen Code oder diese Befehle so auszuführen, als wären sie Teil des Systems. Dies kann zu schwerwiegenden Folgen führen.

A06:2025 Unsicheres Design - Unsicheres Design ist eine breite Kategorie, die verschiedene Schwachstellen darstellt, ausgedrückt als „fehlendes oder unwirksames Kontroll-Design“. Unsicheres Design ist nicht die Quelle für alle anderen Top-Ten-Risikokategorien. Beachten Sie, dass es einen Unterschied zwischen unsicherem Design und unsicherer Implementierung gibt. Wir unterscheiden aus gutem Grund zwischen Designfehlern und Implementierungsfehlern; sie haben unterschiedliche Ursachen, treten zu unterschiedlichen Zeitpunkten im Entwicklungsprozess auf und haben unterschiedliche Korrekturmaßnahmen. Ein sicheres Design kann immer noch Implementierungsfehler aufweisen, die zu ausnutzbaren Schwachstellen führen. Ein unsicheres Design kann nicht durch eine perfekte Implementierung behoben werden, da die erforderlichen Sicherheitskontrollen zur Abwehr bestimmter Angriffe nie erstellt wurden. Ein Faktor, der zum unsicheren Design beiträgt, ist der Mangel an einer geschäftlichen Risikoprofilierung, die in der entwickelten Software oder dem System inhärent ist, und somit das Versagen, das erforderliche Niveau des Sicherheitsdesigns zu bestimmen.

A07:2025 Authentifizierungsfehler - Wenn ein Angreifer es schafft, ein System dazu zu bringen, einen ungültigen oder falschen Benutzer als legitime Person anzuerkennen, ist diese Schwachstelle vorhanden.

A08:2025 Fehlende Integrität von Software oder Daten - Fehlende Integrität von Software und Daten bezieht sich auf Code und Infrastruktur, die nicht vor der Behandlung ungültiger oder nicht vertrauenswürdiger Code oder Daten als vertrauenswürdige und gültige schützt. Ein Beispiel hierfür ist, wenn eine Anwendung auf Plugins, Bibliotheken oder Module aus nicht vertrauenswürdigen Quellen, Repositories und Content Delivery Networks (CDNs) angewiesen ist. Eine unsichere CI/CD-Pipeline ohne Konsumenten- und Bereitstellung von Software-Integritätsprüfungen kann das Potenzial für unbefugten Zugriff, unsicheren oder bösartigen Code oder Systemkompromittierungen einführen. Ein anderes Beispiel für diese ist eine CI/CD, die Code oder Artefakte aus nicht vertrauenswürdigen Orten abruft und/oder diese vor der Verwendung nicht verifiziert (durch Überprüfen der Signatur oder ähnlichen Mechanismus).

A09:2025 Fehlende Sicherheitsprotokollierung und Benachrichtigungen - Ohne Protokollierung und Überwachung können Angriffe und Verletzungen nicht erkannt werden, und ohne Benachrichtigungen ist es sehr schwierig, während eines Sicherheitsvorfalls schnell und effektiv zu reagieren. Unzureichende Protokollierung, kontinuierliche Überwachung, Erkennung und Benachrichtigung zur Einleitung aktiver Reaktionen tritt jederzeit auf.

A10:2025 Unzureichende Behandlung von Ausnahmezuständen - Die unzureichende Behandlung von Ausnahmezuständen in Software tritt auf, wenn Programme versagen, ungewöhnliche und unvorhersehbare Situationen zu verhindern, zu erkennen und darauf zu reagieren, was zu Abstürzen, unerwartetem Verhalten und manchmal zu Schwachstellen führt. Dies kann eines oder mehrere der folgenden drei Versagen beinhalten; die Anwendung verhindert nicht, dass eine ungewöhnliche Situation auftritt, sie erkennt die Situation nicht, während sie stattfindet, und/oder sie reagiert schlecht oder gar nicht auf die Situation im Nachhinein.

Wir werden praktische Aspekte erörtern und präsentieren:

Fehlende Zugriffskontrolle
- Praktische Beispiele für fehlende Zugriffskontrollen
- Sichere Zugriffskontrollen und Best Practices

Falsche Sicherheitskonfiguration
- Reale Beispiele für Fehlkonfigurationen
- Schritte zur Vermeidung von Fehlkonfigurationen, einschließlich Konfigurationsmanagement- und Automatisierungstools

Verschlüsselungsmängel
- Detaillierte Analyse von Verschlüsselungsmängeln wie schwachen Verschlüsselungsalgorithmen oder unsachgemäße Schlüsselverwaltung
- Wichtigkeit starker kryptografischer Mechanismen, sicherer Protokolle (SSL/TLS) und Beispiele für moderne Kryptographie in der Web-Sicherheit

Injektionsangriffe
- Detaillierte Aufschlüsselung von SQL-, NoSQL-, OS- und LDAP-Injektionen
- Minderungstechniken unter Verwendung vorbereiteter Anweisungen, parametrisierter Abfragen und der Maskierung von Eingaben

Unsicheres Design
- Wir werden Designfehler untersuchen, die zu Schwachstellen führen können, wie ungültige Eingabevalidierung
- Wir werden Strategien für sichere Architektur und Prinzipien des sicheren Designs studieren

Authentifizierungsfehler
- Häufige Authentifizierungsprobleme
- Sichere Authentifizierungsstrategien, wie Multi-Faktor-Authentifizierung und korrekte Sitzungshandhabung

Fehlende Integrität von Software und Daten
- Fokus auf Probleme wie nicht vertrauenswürdige Softwareupdates und Datentäuschung
- Sichere Update-Mechanismen und Datenintegritätsprüfungen

Fehlende Sicherheitsprotokollierung und -überwachung
- Wichtigkeit der Protokollierung sicherheitsrelevanter Informationen und der Überwachung auf verdächtige Aktivitäten
- Tools und Praktiken für eine ordnungsgemäße Protokollierung und Echtzeit-Überwachung zur frühzeitigen Erkennung von Verletzungen