OWASP Top 10:
десять рисков на практике

OWASP Top 10 — это не список уязвимостей, а список <em>категорий</em> рисков, периодически обновляемый по данным десятков тысяч приложений. Это та ссылка, которую приводят большинство договоров и систем соответствия, говоря «проверка по признанной методологии». Это руководство проходит по редакции 2021 года — используемой повсеместно — и показывает, что реально проверяется в каждой категории.

A01 — Нарушение контроля доступа

Первое место и самый стабильный источник реальных инцидентов. Приложение проверяет, кто вы, но не проверяет, разрешено ли вам именно это действие. На практике: меняете идентификатор в URL и видите счёт другого клиента; напрямую вызываете административный endpoint, который интерфейс вам не показывает; меняете поле роли в запросе и становитесь администратором. Ни один сканер это не ловит, потому что не знает, кто что должен видеть.

A02 — Криптографические сбои

Чувствительные данные передаются или хранятся без адекватной защиты: трафик по HTTP, пароли с устаревшими алгоритмами, ключи в исходном коде, карточные данные или документы, лежащие в открытом виде «временно». Раньше категория называлась «раскрытие чувствительных данных», и переименование полезно: проблема не только в раскрытии, но и в неверном выборе механизма защиты.

A03 — Инъекции

Пользовательские данные попадают в интерпретатор без разделения: SQL, системные команды, LDAP, XPath, серверные шаблоны. Сюда же входит межсайтовый скриптинг, перенесённый в редакции 2021 года. Это категория, которую автоматические инструменты покрывают лучше всего — и именно поэтому при ручной проверке внимание уходит к тому, что инструменты упускают: инъекции второго порядка, необычные контексты, обходимые фильтры.

A04 — Небезопасный дизайн

Категория, появившаяся в 2021 году, и самая трудная для автоматизации: приложение делает ровно то, для чего спроектировано, а проблема в самом проекте. Восстановление пароля через общеизвестный ответ, отсутствующий в логике лимит возврата, процесс заказа, который можно повторить. Здесь нет сигнатуры для обнаружения — только человек, понимающий бизнес и пытающийся его использовать неправильно.

A05 — Ошибки конфигурации безопасности

Оставленные активными учётные записи по умолчанию, сообщения об ошибках, раскрывающие внутреннюю структуру, открытые административные сервисы, слишком широкие права в облаке, включённая в продакшне отладка. Это категория с лучшим соотношением усилий на устранение и снятого риска — и в большинстве проверок источник первого входа.

A06 — Уязвимые и устаревшие компоненты

Библиотеки, фреймворки и сервисы с известными опубликованными уязвимостями. Категория, лучше всего решаемая автоматизацией: инвентарь зависимостей и регулярная проверка закрывают большинство случаев. Настоящая трудность не в обнаружении, а в обновлении — старая зависимость, вплетённая глубоко в код, превращается в проект, а не в патч.

A07 — Сбои идентификации и аутентификации

Разрешены слабые пароли, нет ограничения попыток, сессии не истекают, предсказуемые токены, злоупотребление восстановлением учётной записи, многофакторная аутентификация, обходимая через альтернативный поток. Последний случай встречается чаще, чем кажется: MFA на веб-интерфейсе, но не на мобильном API.

A08 — Сбои целостности ПО и данных

Код или данные принимаются без проверки происхождения: неподписанные автообновления, библиотеки из неконтролируемых источников, десериализация пользовательских объектов, конвейеры поставки, куда любой может подложить артефакт. Это категория атак на цепочку поставок — поэтому NIS2 и согласованное с ним законодательство выделяют её отдельно.

A09 — Сбои логирования и мониторинга

Категория, которая сама по себе никогда не вызывает взлом, но определяет его длительность. Незалогированные события безопасности, журналы только локально и стёртые злоумышленником, оповещения, которые никому не доходят, невозможность восстановить произошедшее. В проверке это измеряется просто: в конце команду спрашивают, что она заметила, — и ответ говорит больше, чем список находок.

A10 — Подделка запросов на стороне сервера (SSRF)

Приложение берёт переданный пользователем адрес и само по нему обращается. Злоумышленник направляет его во внутреннюю сеть или к сервису метаданных облачного провайдера и получает доступ к тому, что напрямую недостижимо. В Top 10 категория попала в 2021 году именно потому, что облачные архитектуры усилили её влияние: один удачный запрос может вернуть учётные данные.

Что ловит автоматика и что требует человека

Частые вопросы

Связанные руководства

• Сколько стоит пентест — что определяет цену, как оценивается трудоёмкость и что делает предложения сопоставимыми.
• DORA и TLPT — цифровая операционная устойчивость в финансах и тестирование на основе угроз.
• ISO 27001 и SOC 2 — какие меры требуют технической проверки и какие доказательства принимает аудитор.
• Закон 48/2023 (Молдова) — национальная система кибербезопасности: на кого распространяется и какие обязанности вводит.
• PCI DSS 4.0 — требования 11.3 и 11.4, проверка сегментации и что это значит для платёжных провайдеров.
• Пентест против сканирования уязвимостей — что находит каждый, что упускает и что аудиторы принимают как доказательство.
• Как подготовиться к пентесту — охват, доступы, правила взаимодействия и всё, что решается до первого дня.

Материал кратко излагает редакцию OWASP Top 10 2021 года в информационных целях. Список периодически обновляется OWASP; проверяйте действующую редакцию при ссылке в договоре или досье аудита.