‏OWASP ASVS: معيار التحقق من أمان التطبيقات

معيار التحقق من أمن التطبيقات (ASVS) هو إطار لمتطلبات الأمان الخاصة بتطبيقات الويب. ويوفر ثلاثة مستويات للتحقق (L1 وL2 وL3)، وأكثر من 200 عنصر تحكم أمني مفصلًا، منظّمًا في فصول تغطي جميع جوانب أمن التطبيقات.

ينطبق L1 على جميع التطبيقات، ويشمل عناصر التحكم الأمنية الأساسية. أما L2 فهو للتطبيقات التي تتعامل مع بيانات حساسة، ويشمل معظم المتطلبات. وL3 للتطبيقات التي تتطلب ضمانًا عاليًا (مثل التطبيقات المالية وتطبيقات الرعاية الصحية)، ويستلزم التحقق الأكثر صرامة. تستهدف معظم الفرق المستوى L2.

يتطلب ASVS V1 توثيق البنية الأمنية، ونموذج التهديدات، وحدود الثقة، وفصل المكونات بحسب مستوى حساسيتها. تكتشف مراجعات البنية العيوب النظامية قبل أن تتحول إلى مشكلات واسعة النطاق في التنفيذ.

يغطي V2 متطلبات كلمات المرور (الحد الأدنى للطول، والتحقق من كلمات المرور المخترقة، والتجزئة الآمنة)، وإدارة الجلسات، ومتطلبات المصادقة متعددة العوامل، وأمن استرداد بيانات الاعتماد، والحماية من هجمات القوة الغاشمة.

يجب أن تستخدم الجلسات رموزًا عشوائية تشفيريًا ذات طول كافٍ، وأن تُبطَل عند تسجيل الخروج وانتهاء المهلة، وأن تكون محمية من تثبيت الجلسة. كما يجب أن تستخدم ملفات تعريف الارتباط السمات Secure وHttpOnly وSameSite=Strict حيثما ينطبق ذلك.

يجب التصريح عن الوصول إلى كل مورد من جانب الخادم. يتطلب ASVS V4 الرفض افتراضيًا، ومنع اجتياز الأدلة، ومنع تصعيد الامتيازات الرأسي والأفقي، وتسجيل قرارات التحكم في الوصول.

يغطي V5 منع جميع أنواع الحقن: الاستعلامات ذات المعاملات لـ SQL، ومنع حقن الأوامر، والتحليل الآمن لـ XML (منع XXE)، وحقن ترويسات HTTP، وترميز المخرجات الحسّاس للسياق لمنع XSS.

يجب ألا تكشف التطبيقات للمستخدمين تتبعات المكدس أو المسارات الداخلية. ويجب تسجيل الأحداث الأمنية (فشل المصادقة، وانتهاكات التحكم في الوصول، وفشل التحقق من المدخلات) بتفاصيل كافية للتحقيق في الحوادث، من دون تسجيل بيانات حساسة.

يجب تحديد البيانات الحساسة وتصنيفها. ويجب تشفير الأسرار وPII أثناء التخزين والنقل. كما يجب ألا تخزّن ذاكرات التخزين المؤقت والملفات المؤقتة بيانات حساسة. وينبغي حذف البيانات عند عدم الحاجة إليها، وفقًا لسياسات الاحتفاظ.

استخدموا ASVS كقائمة تحقق للمتطلبات أثناء التطوير، وخطة اختبار أثناء الاختبارات الأمنية، وإطار تدقيق أثناء مراجعات الامتثال. أسندوا عناصر التحكم في ASVS إلى الفرق، وتابعوا إكمالها في أداة إدارة المشروع، ووثّقوا أدلة الامتثال.

يرتبط ASVS بالمعايير NIST 800-53 وISO 27001 وPCI-DSS. ويسهّل استخدام ASVS كخط أساس لأمن التطبيقات تحقيق الامتثال، لأن عناصر التحكم فيه تستوفي متطلبات عدة أطر في الوقت نفسه، مما يقلل الجهد المكرر في التقييم.

ما مستوى OWASP ASVS المناسب لمعظم التطبيقات التي تتعامل مع بيانات المستخدمين الحساسة؟

يوفر OWASP ASVS إطارًا شاملًا ومنظمًا لمتطلبات الأمان في مجالات المصادقة، وإدارة الجلسات، والتحكم في الوصول، ومنع الحقن، وحماية البيانات، وغيرها. فهو يربط متطلبات الأمان بإرشادات التنفيذ وأدلة الامتثال ضمن معيار واحد.