OWASP：2024OWASP十大主动控制（36页）.pdf

1、2024OWASP十大主动控制OWASPOWASP TopTop TenTen ProactiveProactive ControlsControls 202420242024OWASP十大主动控制项目01.前言引言.P01文章架构.P0402.正文C1:实施访问控制.P05C2:正确应用加密技术.P08C3:验证所有输入并处理异常.P13C4:使用安全架构模式.P18C5:默认安全配置.P19C6:确保组件安全.P21C7:实施数字身份.P23C8:协助浏览器守护用户安全.P28C9:实现安全日志记录和监控.P31C10:阻止服务器端请求伪造(SSRF).P3303.后记关于OWASP.P3

2、4补充说明.P342024OWASP十大主动控制项目多年来，开发人员一直饱受在自己所构建的软件中引入相同的安全问题之苦。最常见的问题已经存在几十年，并且OWASP十大安全风险（OWASP Top 10）已经记录了这些问题。最早版本中的许多问题至今仍以某种形式存在。业界需要一种机制来应对这些挑战，这种机制就是主动控制。主动控制是一系列最佳实践，开发人员可以在其代码库中采纳和实施这些最佳实践，从而有效地避免许多常见的安全问题。主动控制提供了一种积极而有效的模式来完成安全设计的解决方案。设想一下，开发人员正在开发基于Web的软件并且发布一个新版本，然后就收到报告称该版本中存在一个黑客可以恶意利用的在

3、野安全漏洞。此时，开发人员必须采取应急措施：分析漏洞、修复漏洞、发布一个新的软件版本并推送给用户更新。尤其是在安全漏洞非常严重的情况下，整个处理过程既繁琐又令人尴尬。主动控制通过关注开发过程的本身来防止这种情况的出现。主动控制的核心理念是在应用程序开发初期就预防常见的漏洞，从而完全避免后期繁琐且令人尴尬的错误修复工作。众所周知，从长远来看，主动控制既节省资源又节约成本。需要注意的是，尽管遵循主动控制最佳实践会降低代码中存在安全漏洞的风险，但并不意味着代码中完全没有安全漏洞。这是可以理解的，有得必有失唯一不引入任何安全漏洞的方法就是根本不写代码。所以开发人员必须接受这个观点，在尽力预防尽可能多的

4、安全问题时，仍然可能会存在某些难以预见的安全漏洞。2024OWASP十大主动控制是一份针对软件架构师和开发人员的重要安全技术文档，旨在为他们提供具体、实用的指导，以帮助软件架构师和技术人员构建更加安全的软件。这份文档强调，软件架构师和开发人员都应该了解和遵循主动控制安全技术，并应在软件开发的早期阶段就主动应用，以确保最大效用。项目背景项目背景随着全球范围内金融、医疗、国防、能源和其他关键基础设施对软件的依赖加深，不安全的软件正在对这些系统构成严重威胁。随着数字化和全球化基础设施的日益复杂和互联，实现应用程序安全的挑战正呈指数级增长，这使得用户再也无法容忍相对简单的安全问题。宗旨与目标宗旨与目标

5、OWASP十大主动控制项目（OPC）的核心目标是通过明确描述软件开发过程中必须高度关注的关键领域来实现提升开发人员对应用程序安全性的认识。该项目鼓励开发人员积极采用OWASP主动控制策略，让开发人员在构建软件时能够主动关注应用程序的安全问题。开发人员通过主动关注应用程序的安全问题可以从其他组织的错误中汲取教训，从而更有效地避免类似的安全问题。希望OWASP主动控制项目对开发人员在构建安全软件方面有所帮助。值得注意的是，尽管本文主要关注Web应用程序的安全问题，但OWASP的其他十大安全风险也同样具有普遍适用性。例如，OWASP API安全十大风险、OWASP移动应用安全十大风险，都是开发人员在

6、不同领域构建安全软件时需要参考的重要指南。引言项目介绍项目介绍1 12024OWASP十大主动控制项目与其他与其他OWASPOWASP项目之间的关联性项目之间的关联性引言OWASP是一个由志愿者驱动的组织，这些志愿者创建了很多有价值的文档，为开发人员和安全专家提供了宝贵的资源，以下是与OWASP相关的一些重要文档和项目：1.OWASP Top 10OWASP最著名文档是OWASP十大安全风险，详细描述了最常见的Web应用程序漏洞，同时也是本文的基础。相比之下，本文侧重于防御技术和控制，而不是风险。本文中的每个控制都对应到基于风险的OWASP十大安全风险中的一项或多项，每个控制描述末尾都包含对应