OWASP ASVS: มาตรฐานตรวจสอบความปลอดภัยแอปพลิเคชัน

มาตรฐานการตรวจสอบความปลอดภัยของแอปพลิเคชัน (ASVS) คือกรอบข้อกำหนดด้านความปลอดภัยสำหรับแอปพลิเคชันเว็บ โดยมีระดับการตรวจสอบสามระดับ (L1, L2, L3) และมาตรการควบคุมความปลอดภัยโดยละเอียดมากกว่า 200 รายการ ซึ่งจัดเป็นบทและครอบคลุมทุกด้านของความปลอดภัยของแอปพลิเคชัน

L1 ใช้กับแอปพลิเคชันทั้งหมดและครอบคลุมมาตรการควบคุมความปลอดภัยพื้นฐาน L2 ใช้กับแอปพลิเคชันที่จัดการข้อมูลอ่อนไหวและครอบคลุมข้อกำหนดส่วนใหญ่ L3 ใช้กับแอปพลิเคชันที่ต้องการความมั่นใจระดับสูง เช่น การเงินและการดูแลสุขภาพ ซึ่งต้องผ่านการตรวจสอบที่เข้มงวดที่สุด โดยทั่วไปทีมส่วนใหญ่ตั้งเป้าที่ L2

ASVS V1 กำหนดให้มีสถาปัตยกรรมด้านความปลอดภัยที่จัดทำเป็นเอกสาร แบบจำลองภัยคุกคาม ขอบเขตความไว้วางใจที่จัดทำเป็นเอกสาร และการแยกส่วนประกอบตามระดับความอ่อนไหว การทบทวนสถาปัตยกรรมช่วยตรวจพบข้อบกพร่องเชิงระบบก่อนที่จะกลายเป็นปัญหาในการนำไปใช้ในวงกว้าง

V2 ครอบคลุมข้อกำหนดเกี่ยวกับรหัสผ่าน เช่น ความยาวขั้นต่ำ การตรวจสอบรหัสผ่านที่เคยรั่วไหล และการแฮชอย่างปลอดภัย การจัดการเซสชัน ข้อกำหนดการตรวจสอบสิทธิ์หลายปัจจัย ความปลอดภัยของการกู้คืนข้อมูลรับรอง และการป้องกันการโจมตีแบบเดารหัสผ่านซ้ำจำนวนมาก

เซสชันต้องใช้โทเค็นสุ่มด้วยหลักการเข้ารหัสที่มีความยาวเพียงพอ ต้องทำให้ใช้ไม่ได้เมื่อออกจากระบบหรือเมื่อหมดเวลา ต้องได้รับการป้องกันจากการตรึงเซสชัน และคุกกี้ต้องใช้แอตทริบิวต์ Secure, HttpOnly และ SameSite=Strict เมื่อเกี่ยวข้อง

การเข้าถึงทรัพยากรทุกครั้งต้องได้รับอนุญาตจากฝั่งเซิร์ฟเวอร์ ASVS V4 กำหนดให้ปฏิเสธเป็นค่าเริ่มต้น ป้องกันการไล่ย้อนผ่านไดเรกทอรี ป้องกันการยกระดับสิทธิ์ในแนวดิ่งและแนวนอน และบันทึกการตัดสินใจควบคุมการเข้าถึง

V5 ครอบคลุมการป้องกันการฉีดทุกรูปแบบ ได้แก่ คำสั่ง SQL แบบกำหนดพารามิเตอร์ การป้องกันการฉีดคำสั่ง การแยกวิเคราะห์ XML อย่างปลอดภัยเพื่อป้องกัน XXE การฉีดส่วนหัว HTTP และการเข้ารหัสผลลัพธ์ตามบริบทเพื่อป้องกัน XSS

แอปพลิเคชันต้องไม่เปิดเผยร่องรอยสแต็กหรือเส้นทางภายในแก่ผู้ใช้ เหตุการณ์ด้านความปลอดภัย เช่น การตรวจสอบสิทธิ์ล้มเหลว การละเมิดการควบคุมการเข้าถึง และการตรวจสอบข้อมูลนำเข้าล้มเหลว ต้องได้รับการบันทึกด้วยรายละเอียดที่เพียงพอสำหรับการสืบสวนเหตุการณ์ โดยไม่บันทึกข้อมูลอ่อนไหว

ต้องระบุและจัดประเภทข้อมูลอ่อนไหว ความลับและ PII ต้องได้รับการเข้ารหัสทั้งขณะจัดเก็บและขณะส่งผ่าน แคชและไฟล์ชั่วคราวต้องไม่เก็บข้อมูลอ่อนไหว ต้องลบข้อมูลเมื่อไม่จำเป็นต้องใช้อีกต่อไปตามนโยบายการเก็บรักษาข้อมูล

ใช้ ASVS เป็นรายการตรวจสอบข้อกำหนดระหว่างการพัฒนา เป็นแผนการทดสอบระหว่างการทดสอบความปลอดภัย และเป็นกรอบการตรวจประเมินระหว่างการทบทวนการปฏิบัติตามข้อกำหนด มอบหมายมาตรการควบคุมของ ASVS ให้ทีมต่าง ๆ ติดตามความคืบหน้าในเครื่องมือจัดการโครงการ และจัดทำเอกสารหลักฐานการปฏิบัติตามข้อกำหนด

ASVS เชื่อมโยงกับ NIST 800-53, ISO 27001 และ PCI-DSS การใช้ ASVS เป็นพื้นฐานด้านความปลอดภัยของแอปพลิเคชันช่วยให้การปฏิบัติตามข้อกำหนดง่ายขึ้น เนื่องจากมาตรการควบคุมเดียวกันสามารถตอบสนองข้อกำหนดของหลายกรอบมาตรฐานได้พร้อมกัน และลดความพยายามในการประเมินซ้ำซ้อน

OWASP ASVS มอบกรอบข้อกำหนดด้านความปลอดภัยที่ครอบคลุมและมีโครงสร้าง สำหรับการตรวจสอบสิทธิ์ การจัดการเซสชัน การควบคุมการเข้าถึง การป้องกันการฉีด การปกป้องข้อมูล และหัวข้ออื่น ๆ โดยเชื่อมโยงข้อกำหนดด้านความปลอดภัย แนวทางการนำไปใช้ และหลักฐานการปฏิบัติตามข้อกำหนดไว้ในมาตรฐานเดียว