Расскажите про OWASP Top 10
Вопрос
Расскажите, что такое OWASP Top 10, и разберите три категории на выбор: суть и защита.
Попробуйте сами
Ответьте вслух за 2 минуты, как на собесе. Потом сверьтесь с тезисами: что прозвучало, а что нет.
Показать ответ и разбор
Коротко
Что должно прозвучать в ответе
OWASP Top 10: список частых классов рисков веба, обновляется по данным
Контроль доступа: проверка прав на сервере для каждого объекта и функции, deny by default
Инъекции: разделение данных и кода, параметризация, экранирование по контексту
Ещё одна категория с конкретным примером и защитой
Это не чек-лист: для требований ASVS, для тестов WSTG
Что могут спросить следом
- Какая из категорий, по вашему опыту, встречается чаще всего?
- Чем API Top 10 отличается от веб-списка?
Разбор
Образцовый ответ: «OWASP Top 10 это список самых распространённых и опасных классов уязвимостей веб-приложений, его обновляют раз в несколько лет по данным о реальных находках. На первом месте нарушение контроля доступа: например, по /orders/1002 можно открыть чужой заказ. Защита: проверять права на сервере для каждого объекта и функции, запрет по умолчанию, централизованная проверка, тесты на доступ. Инъекции: когда ввод пользователя становится частью кода, SQL или команды. Защита: параметризованные запросы, ORM без сырой конкатенации, экранирование по контексту. Уязвимые компоненты: Log4Shell показал, что одна библиотека ломает тысячи систем. Защита: SCA в CI, lock-файлы, процесс обновлений. Важно, что Top 10 не стандарт, для требований есть ASVS».
Ответьте сами, а не прочитайте
В тренажёре вопрос попадёт в повторения и вернётся, когда начнёт забываться. Плюс билеты с зачётом: 20 вопросов, не больше 2 ошибок.
Ещё по теме «OWASP Top 10 и API Top 10»
- Первое место OWASP Top 10
- BOLA в API
- Unrestricted Resource Consumption
- Зачем ASVS
- BFLA
- CWE и CVE
- OWASP API Top 10 2023
- Базовые принципы защиты