OWASP ASVS: Standar Verifikasi Keamanan Aplikasi

Application Security Verification Standard (ASVS) adalah kerangka kerja persyaratan keamanan untuk aplikasi web. Standar ini menyediakan tiga tingkat verifikasi (L1, L2, L3) dan lebih dari 200 kontrol keamanan terperinci yang disusun dalam beberapa bab dan mencakup semua aspek keamanan aplikasi.

L1 berlaku untuk semua aplikasi dan mencakup kontrol keamanan dasar. L2 ditujukan untuk aplikasi yang menangani data sensitif dan mencakup sebagian besar persyaratan. L3 ditujukan untuk aplikasi dengan tingkat jaminan tinggi, seperti aplikasi keuangan dan layanan kesehatan, yang memerlukan verifikasi paling ketat. Sebagian besar tim menargetkan L2.

ASVS V1 mengharuskan adanya arsitektur keamanan yang terdokumentasi, model ancaman, batas kepercayaan yang terdokumentasi, dan pemisahan komponen berdasarkan tingkat sensitivitas. Tinjauan arsitektur dapat menemukan kelemahan sistemik sebelum berkembang menjadi masalah implementasi yang meluas.

V2 mencakup persyaratan kata sandi, seperti panjang minimum, pemeriksaan kata sandi yang pernah bocor, dan hashing yang aman; manajemen sesi; persyaratan autentikasi multifaktor; keamanan pemulihan kredensial; serta perlindungan terhadap serangan tebakan berulang.

Sesi harus menggunakan token acak secara kriptografis dengan panjang yang memadai, dibatalkan saat pengguna keluar dan saat batas waktu tercapai, serta dilindungi dari fiksasi sesi. Cookie harus menggunakan atribut Secure, HttpOnly, dan SameSite=Strict jika berlaku.

Setiap akses sumber daya harus diotorisasi di sisi server. ASVS V4 mengharuskan penolakan secara bawaan, pencegahan traversal direktori, pencegahan eskalasi hak istimewa vertikal dan horizontal, serta pencatatan keputusan kontrol akses.

V5 mencakup semua pencegahan injeksi: kueri berparameter untuk SQL, pencegahan injeksi perintah, penguraian XML yang aman untuk mencegah XXE, injeksi header HTTP, dan pengodean keluaran yang sesuai konteks untuk mencegah XSS.

Aplikasi tidak boleh menampilkan jejak tumpukan atau jalur internal kepada pengguna. Peristiwa keamanan, seperti kegagalan autentikasi, pelanggaran kontrol akses, dan kegagalan validasi masukan, harus dicatat dengan detail yang memadai untuk penyelidikan insiden tanpa mencatat data sensitif.

Data sensitif harus diidentifikasi dan diklasifikasikan. Rahasia dan PII harus dienkripsi saat tersimpan dan saat ditransmisikan. Tembolok dan berkas sementara tidak boleh menyimpan data sensitif. Data harus dimusnahkan ketika tidak lagi diperlukan, sesuai dengan kebijakan penyimpanan.

Gunakan ASVS sebagai daftar periksa persyaratan selama pengembangan, rencana pengujian selama pengujian keamanan, dan kerangka kerja audit selama tinjauan kepatuhan. Petakan kontrol ASVS ke tim, lacak penyelesaiannya dalam alat manajemen proyek, dan dokumentasikan bukti kepatuhan.

ASVS memiliki pemetaan ke NIST 800-53, ISO 27001, dan PCI-DSS. Menggunakan ASVS sebagai dasar keamanan aplikasi menyederhanakan kepatuhan karena kontrolnya memenuhi persyaratan beberapa kerangka kerja sekaligus, sehingga mengurangi upaya penilaian yang berulang.

Tingkat OWASP ASVS manakah yang sesuai untuk sebagian besar aplikasi yang menangani data pengguna sensitif?

OWASP ASVS menyediakan kerangka kerja persyaratan keamanan yang komprehensif dan terstruktur untuk autentikasi, manajemen sesi, kontrol akses, pencegahan injeksi, perlindungan data, dan berbagai aspek lainnya. Standar ini menjembatani persyaratan keamanan, panduan implementasi, dan bukti kepatuhan dalam satu standar.