OWASP ASVS: стандарт проверки безопасности приложений

Стандарт проверки безопасности приложений (ASVS) — это структура требований безопасности для веб-приложений. Он предусматривает три уровня проверки (L1, L2, L3) и более 200 подробных мер безопасности, объединенных в главы, охватывающие все аспекты безопасности приложений.

L1 применяется ко всем приложениям и включает базовые меры безопасности. L2 предназначен для приложений, работающих с конфиденциальными данными, и охватывает большинство требований. L3 предназначен для приложений с высоким уровнем гарантий безопасности, например финансовых и медицинских, которым требуется наиболее строгая проверка. Большинство команд ориентируется на L2.

ASVS V1 требует документированной архитектуры безопасности, модели угроз, документированных границ доверия и разделения компонентов по уровню конфиденциальности. Проверка архитектуры позволяет выявить системные недостатки до того, как они превратятся в масштабные проблемы реализации.

V2 охватывает требования к паролям (минимальную длину, проверку паролей на наличие в утечках и безопасное хеширование), управление сеансами, требования к многофакторной аутентификации, безопасность восстановления учетных данных и защиту от атак перебором.

Сеансы должны использовать криптографически случайные токены достаточной длины, аннулироваться при выходе из системы и по истечении времени ожидания, а также быть защищены от фиксации. При необходимости файлы cookie должны использовать атрибуты Secure, HttpOnly и SameSite=Strict.

Каждый доступ к ресурсу должен авторизоваться на стороне сервера. ASVS V4 требует запрета по умолчанию, предотвращения обхода каталогов и вертикального и горизонтального повышения привилегий, а также записи решений о контроле доступа в журнал.

V5 охватывает предотвращение всех видов внедрения: параметризованные запросы SQL, предотвращение внедрения команд, безопасный разбор XML (предотвращение XXE), внедрение HTTP-заголовков и контекстно-зависимое кодирование выходных данных для предотвращения XSS.

Приложения не должны показывать пользователям трассировки стека или внутренние пути. События безопасности (ошибки аутентификации, нарушения контроля доступа и ошибки проверки входных данных) необходимо записывать с достаточной детализацией для расследования инцидентов, не допуская журналирования конфиденциальных данных.

Конфиденциальные данные необходимо выявлять и классифицировать. Секреты и PII должны быть зашифрованы при хранении и передаче. Кэши и временные файлы не должны содержать конфиденциальные данные. Данные необходимо удалять, когда они больше не нужны, в соответствии с политиками хранения.

Используйте ASVS как список требований во время разработки, как план тестирования во время проверки безопасности и как основу аудита при проверках соответствия. Назначайте меры ASVS командам, отслеживайте их выполнение в системе управления проектами и документируйте подтверждения соответствия.

ASVS сопоставляется с NIST 800-53, ISO 27001 и PCI-DSS. Использование ASVS в качестве базового стандарта безопасности приложений упрощает подтверждение соответствия: его меры одновременно удовлетворяют требованиям нескольких платформ, сокращая дублирующие усилия по оценке.

Какой уровень OWASP ASVS подходит для большинства приложений, работающих с конфиденциальными данными пользователей?

OWASP ASVS предоставляет всеобъемлющую структурированную систему требований безопасности, охватывающую аутентификацию, управление сеансами, контроль доступа, предотвращение внедрения, защиту данных и другие области. Он объединяет требования безопасности, рекомендации по реализации и подтверждения соответствия в едином стандарте.