PM 來認識 OWASP Top 10

ChatGPT 規劃的最後一個 🛡️ 第二階段：重點資安領域拆解，題目就是 OWASP Top 10。

OWASP Top 10 是網頁應用程式安全領域最常見的十大風險清單，由 Open Web Application Security Project (OWASP) 定期更新。

以下是最新的 OWASP Top 10 (2021) 以及它們對你的專案可能的影響：

1. Broken Access Control（存取控制不當）

• 問題：未正確限制使用者權限，導致低權限用戶可以存取或修改不該存取的資料。
• 影響：攻擊者可能能夠竄改或刪除重要資料，甚至取得管理員權限。
• PM 應關注：確保系統有適當的 Role-Based Access Control (RBAC)，並定期審查權限設置。

2. Cryptographic Failures（加密失敗）

• 問題：敏感資料（如密碼、信用卡資訊）未正確加密，或使用了弱加密演算法。
• 影響：攻擊者可竊取或篡改資料，可能違反 GDPR、CCPA 等法規。
• PM 應關注：確保專案符合資安

3. Injection（注入攻擊，如 SQL Injection）

• 問題：應用程式未正確過濾使用者輸入，導致惡意程式碼可被執行（例如 SQL、NoSQL、OS Command Injection）。
• 影響：攻擊者可能能夠執行任意指令、竊取或刪除資料庫內容。
• PM 應關注：確保工程師使用 參數化查詢 或 ORM 來防止注入攻擊。

4. Insecure Design（不安全設計）

• 問題：系統設計缺乏安全考量，例如沒有適當的驗證機制或錯誤處理機制。
• 影響：攻擊者可能透過業務邏輯漏洞執行未授權操作。
• PM 應關注：導入 Threat Modeling（威脅建模），確保資安需求在設計階段被考量。

5. Security Misconfiguration（安全設定錯誤）

• 問題：未正確設定伺服器、資料庫或 API，例如預設密碼未更改、開發環境設定暴露到正式環境。
• 影響：攻擊者可利用錯誤配置存取系統。
• PM 應關注：確保團隊有標準的 安全配置檢查清單，並定期進行 安全稽核。

6. Vulnerable and Outdated Components（使用過時或有漏洞的元件）

• 問題：使用過時的函式庫或框架，導致已知漏洞未被修補。
• 影響：攻擊者可利用舊漏洞入侵系統。
• PM 應關注：確保團隊定期 更新依賴套件（如 npm audit, Snyk），並有 漏洞管理流程。

7. Identification and Authentication Failures（身份驗證與管理失敗）

• 問題：密碼管理不當（如允許弱密碼）、未設置多因素驗證（MFA）。
• 影響：攻擊者可輕易登入系統竊取資料或操作。
• PM 應關注：確保實施 強密碼政策，支援 多因素驗證（MFA），並限制登入嘗試次數。

8. Software and Data Integrity Failures（軟體與數據完整性失敗）

• 問題：應用程式未驗證更新檔案的完整性，或使用不受信任的第三方庫。
• 影響：攻擊者可能植入惡意程式碼（如供應鏈攻擊）。
• PM 應關注：確保使用 數字簽章 驗證更新，並定期審查供應鏈元件。

9. Security Logging and Monitoring Failures（安全記錄與監控不足）

• 問題：缺乏日誌記錄，或未即時監控異常行為。
• 影響：當發生攻擊時，無法偵測或追蹤來源。
• PM 應關注：確保有 SIEM（安全事件管理系統），如 Splunk、ELK、AWS CloudTrail，並落實 入侵偵測機制（IDS）。

10. Server-Side Request Forgery (SSRF，伺服器端請求偽造)

• 問題：應用程式允許使用者輸入網址，但未驗證 URL 是否安全。
• 影響：攻擊者可讓伺服器存取內部資源，甚至造成資訊洩漏。
• PM 應關注：確保應用程式對外部請求有 適當的存取限制與驗證機制。

當然，照常的還是要問一下，有更簡單的版本嗎？

當然！這裡是更簡單易懂的 OWASP Top 10 概念，特別針對 PM：

1. 存取控制不當 （Broken Access Control）

🚨 問題：使用者權限沒管好，普通用戶能做管理員才能做的事。
✅ 解法：確保系統有明確的權限設定，誰能做什麼要定義清楚。

2. 加密失敗 （Cryptographic Failures）

🚨 問題：密碼、個資沒有加密好，可能被偷走。
✅ 解法：確保敏感資料 加密存放，使用 HTTPS 傳輸資料。

3. 注入攻擊 （Injection）

🚨 問題：駭客透過輸入框，讓系統執行惡意指令（例如 SQL 注入）。
✅ 解法：確保開發團隊使用 安全的輸入處理方式（如參數化查詢）。

4. 不安全設計 （Insecure Design）

🚨 問題：系統一開始設計時，沒有考慮安全性，導致漏洞。
✅ 解法：從設計階段就討論 安全需求，不只是開發完才補強資安。

5. 安全設定錯誤 （Security Misconfiguration）

🚨 問題：系統預設值沒改（例如：預設密碼、開發環境的測試帳號還在）。
✅ 解法：定期檢查設定，確保沒留下 預設帳號、測試功能。

6. 使用過時或有漏洞的元件 （Vulnerable and Outdated Components）

🚨 問題：使用老舊或有漏洞的軟體，導致系統被攻擊。
✅ 解法：確保 定期更新 軟體和函式庫，不用來路不明的外部套件。

7. 身份驗證問題 （Identification and Authentication Failures）

🚨 問題：弱密碼、沒有多重驗證（MFA），帳號容易被盜。
✅ 解法：要求使用 強密碼，並啟用 多重驗證（MFA）。

8. 軟體與資料完整性問題 （Software and Data Integrity Failures）

🚨 問題：下載軟體更新時，沒檢查來源是否安全，可能被植入惡意程式。
✅ 解法：使用 數位簽章 確保更新來源安全，不亂下載外部程式。

9. 日誌與監控不足 （Security Logging and Monitoring Failures）

🚨 問題：系統發生異常時沒有紀錄，導致駭客攻擊後也不知道。
✅ 解法：確保系統有 日誌記錄與即時警報機制，讓異常行為可被偵測。

10. 伺服器端請求偽造（SSRF）

🚨 問題：系統允許用戶輸入網址，卻沒檢查，導致內部伺服器被攻擊。
✅ 解法：限制應用程式對外請求的範圍，避免存取內部機密資料。

整理跟簡短過後的資訊，看起來清爽多了！