OWASP Top 10:2025 – מה השתנה ומה זה אומר ל-CISO
OWASP Top 10 היא הרשימה המוכרת ביותר של סיכוני אבטחה ביישומי ווב. היא משמשת בסיס לדרישות בחוזים מול ספקים, לבדיקות חדירה ולתוכניות הדרכה למפתחים. גרסת 2025 מחליפה את גרסת 2021, ומשקפת שינויים בדרך שבה נבנית תוכנה היום.
הרשימה המעודכנת
| מקום | קטגוריה | במשפט אחד |
|---|---|---|
| A01 | Broken Access Control | משתמש מגיע למידע או לפעולה שאינם שלו |
| A02 | Security Misconfiguration | הגדרות ברירת מחדל, הרשאות ענן פתוחות, כותרות אבטחה חסרות |
| A03 | Software Supply Chain Failures | סיכון מספריות, כלי בנייה, CI/CD וספקים |
| A04 | Cryptographic Failures | הצפנה חלשה, חסרה או מנוהלת לא נכון |
| A05 | Injection | SQL Injection, XSS, הזרקת פקודות |
| A06 | Insecure Design | פגם בתכנון, שלא יתוקן בטלאי |
| A07 | Authentication Failures | סיסמאות חלשות, היעדר MFA, ניהול סשנים לקוי |
| A08 | Software or Data Integrity Failures | עדכונים או נתונים שלא נבדקה שלמותם |
| A09 | Security Logging and Alerting Failures | אין לוגים, או שיש לוגים ואף אחד לא מקבל התראה |
| A10 | Mishandling of Exceptional Conditions | טיפול שגוי בשגיאות ובמצבי קצה, למשל "fail open" |
שלושה שינויים שכדאי לשים לב אליהם
- שרשרת האספקה עלתה למקום השלישי. הקטגוריה הישנה של "רכיבים פגיעים" הורחבה לכל שרשרת האספקה: חבילות קוד פתוח, תהליכי בנייה, הרשאות ב-CI/CD וחתימה על קוד.
- הגדרות שגויות עלו למקום השני. ככל שיותר מהמערכת היא הגדרות (ענן, קונטיינרים, IaC), כך יותר תקלות אבטחה הן תקלות הגדרה.
- קטגוריה חדשה לטיפול בשגיאות: מערכות שמגיבות לשגיאה בפתיחת גישה, או חושפות מידע רגיש בהודעות שגיאה.
מה לדרוש מצוותי הפיתוח והספקים
- בדיקת הרשאות בצד השרת בכל בקשה, עם בדיקות אוטומטיות למקרי IDOR.
- רשימת רכיבי תוכנה (SBOM) וסריקת תלויות בכל בנייה.
- MFA לכל ממשקי הניהול ולמערכות הפיתוח (Git, CI, ענן).
- כותרות אבטחה (CSP, HSTS) ובדיקת הגדרות כחלק מתהליך הפריסה.
- לוגים מרוכזים עם התראות מוגדרות, ולא רק שמירת קבצים.
- בחוזים מול ספקים: התחייבות לבדיקת חדירה מול OWASP Top 10 וזמן תיקון מוגדר לממצאים.
המקור הרשמי: OWASP Top 10 (נפתח בחלון חדש)