Pengenalan kepada OWASP Top 10

OWASP — Open Web Application Security Project — ialah organisasi bukan untung global yang menerbitkan panduan percuma dan neutral vendor untuk pengekodan selamat.

OWASP Top 10 menyenaraikan risiko keselamatan aplikasi web yang paling kritikal. Anggapnya sebagai panduan untuk mengutamakan usaha keselamatan anda, bukan sebagai senarai semak.

Top 10 berasaskan data: ia dibina daripada jutaan kerentanan sebenar yang dilaporkan oleh pakar di seluruh dunia, lalu menunjukkan perkara yang paling kerap dieksploitasi oleh penyerang.

A01: Kawalan Akses yang Rosak — berlaku apabila peraturan akses gagal dan pengguna mencapai data atau tindakan yang tidak sepatutnya. Mengawal perkara yang boleh dilakukan oleh setiap pihak adalah penting.

A02: Kegagalan Kriptografi — penyulitan yang lemah, pengurusan kunci yang buruk atau kata laluan yang disimpan secara tidak selamat mendedahkan data sensitif. Kriptografi yang kukuh amat penting.

A03: Suntikan — data yang tidak dipercayai memperdaya pentafsir supaya menjalankan arahan yang tidak dikehendaki. Suntikan SQL ialah contoh klasik; mengesahkan kesahihan input ialah pertahanannya.

Gunakan Top 10 sebagai panduan kerja: nilaikan risiko semasa reka bentuk dan pengujian, didik pasukan anda serta utamakan pembaikan yang paling berkesan terlebih dahulu.

Ancaman berubah, begitu juga OWASP Top 10. Ia disemak setiap beberapa tahun apabila kategori digabungkan atau kategori baharu muncul — ikuti versi terkini.

Anda telah mengambil langkah pertama dalam keselamatan bahagian belakang: OWASP memacu bidang ini, manakala Top 10 ialah panduan dinamik berasaskan data untuk mengutamakan risiko. Teruskan usaha!