OWASP ASVS: Standard zur Überprüfung der Anwendungssicherheit

Der Application Security Verification Standard (ASVS) ist ein Rahmenwerk mit Sicherheitsanforderungen für Webanwendungen. Er umfasst drei Verifizierungsstufen (L1, L2, L3) und über 200 detaillierte Sicherheitskontrollen, die in Kapiteln organisiert sind und alle Aspekte der Anwendungssicherheit abdecken.

L1 gilt für alle Anwendungen und umfasst grundlegende Sicherheitskontrollen. L2 gilt für Anwendungen, die sensible Daten verarbeiten, und umfasst die meisten Anforderungen. L3 gilt für Anwendungen mit hohen Sicherheitsanforderungen, etwa im Finanz- und Gesundheitswesen, und erfordert die strengste Verifizierung. Die meisten Teams streben L2 an.

ASVS V1 erfordert eine dokumentierte Sicherheitsarchitektur, ein Bedrohungsmodell, dokumentierte Vertrauensgrenzen und die Trennung von Komponenten nach ihrer Schutzbedürftigkeit. Architekturprüfungen erkennen systemische Schwachstellen, bevor daraus weitreichende Probleme bei der Implementierung entstehen.

V2 behandelt Anforderungen an Passwörter (Mindestlänge, Prüfung auf kompromittierte Passwörter, sicheres Hashing), Sitzungsverwaltung, Anforderungen an die Multi-Faktor-Authentifizierung, die sichere Wiederherstellung von Zugangsdaten und den Schutz vor Brute-Force-Angriffen.

Sitzungen müssen kryptografisch zufällige Tokens ausreichender Länge verwenden, bei Abmeldung und Zeitüberschreitung ungültig gemacht werden und vor Session Fixation geschützt sein. Cookies müssen, sofern zutreffend, die Attribute Secure, HttpOnly und SameSite=Strict verwenden.

Jeder Ressourcenzugriff muss serverseitig autorisiert werden. ASVS V4 erfordert standardmäßige Verweigerung, den Schutz vor Directory Traversal, die Verhinderung vertikaler und horizontaler Rechteausweitung sowie die Protokollierung von Zugriffskontrollentscheidungen.

V5 behandelt die Verhinderung aller Arten von Injection: parametrisierte Abfragen für SQL, die Verhinderung von Command Injection, sicheres Parsen von XML (Verhinderung von XXE), HTTP-Header-Injection und kontextabhängige Ausgabekodierung zur Verhinderung von XSS.

Anwendungen dürfen Benutzern keine Stacktraces oder internen Pfade offenlegen. Sicherheitsereignisse (fehlgeschlagene Authentifizierungen, Verstöße gegen die Zugriffskontrolle, fehlgeschlagene Eingabevalidierungen) müssen mit ausreichenden Details für die Untersuchung von Vorfällen protokolliert werden, ohne sensible Daten zu protokollieren.

Sensible Daten müssen identifiziert und klassifiziert werden. Secrets und personenbezogene Daten müssen bei der Speicherung und Übertragung verschlüsselt werden. Caches und temporäre Dateien dürfen keine sensiblen Daten speichern. Daten müssen gemäß den Aufbewahrungsrichtlinien gelöscht werden, sobald sie nicht mehr benötigt werden.

Verwenden Sie ASVS während der Entwicklung als Checkliste für Anforderungen, bei Sicherheitstests als Testplan und bei Compliance-Prüfungen als Audit-Rahmenwerk. Weisen Sie Teams ASVS-Kontrollen zu, verfolgen Sie deren Umsetzung in Ihrem Projektmanagement-Tool und dokumentieren Sie Nachweise für die Compliance.

ASVS ist auf NIST 800-53, ISO 27001 und PCI-DSS abgebildet. Die Verwendung von ASVS als Baseline für Anwendungssicherheit vereinfacht die Compliance, da die Kontrollen gleichzeitig Anforderungen mehrerer Rahmenwerke erfüllen und dadurch doppelten Prüfaufwand reduzieren.

Welche OWASP-ASVS-Stufe ist für die meisten Anwendungen geeignet, die sensible Benutzerdaten verarbeiten?

OWASP ASVS bietet ein umfassendes, strukturiertes Rahmenwerk für Sicherheitsanforderungen in den Bereichen Authentifizierung, Sitzungsverwaltung, Zugriffskontrolle, Verhinderung von Injection, Datenschutz und weiteren Themen. Es verbindet Sicherheitsanforderungen, Anleitung zur Implementierung und Compliance-Nachweise in einem einzigen Standard.