X

Actueel

04dec

OWASP top 10

Soms krijg ik de vraag om een "OWASP top 10 test" te doen. Ik kijk daar altijd een beetje raar van op.

Veel mensen hebben wel eens gehoord van de OWASP top 10. Het blijkt echter moelijk om te begrijpen wat die top 10 precies is, en wat wij er mee kunnen. De meeste mensen doelen met de OWASP top 10 op gemakkelijk uit te buiten kwetsbaarheden. "De top 10" klinkt voor hen als "het meest oppervlakkig", of "de basis". Hoewel de OWASP top 10 staat voor de 10 meest belangrijke categorieën van kwetsbaarheden, is niet elke vorm van kwetsbaarheden binnen die categorieën gemakkelijk uit te buiten. Het is zelfs niet zo dat er een test kan worden gedaan op de OWASP top 10. De top 10 omschrijft bijvoorbeeld niet tests of aanvallen, maar (behoorlijk ruime) categorieën van kwetsbaarheden.

"Alleen maar" testen of een systeem kwetsbaarheden uit de top 10 heeft, kost ons niet minder werk dan een uitgebreide security test. Even afgezien van het feit dat de categorieën van de OWASP top 10 zo breed zijn dat heel veel webapplicatie kwetsbaarheden er onder vallen, moeten we voor een "OWASP top 10 test" het volgende doen:

  • Een security test met al onze standaard testcases;
  • Het rapporteren van onze bevindingen, zoals gebruikelijk;
  • Het categoriseren van onze bevindingen onder de OWASP top 10 onderdelen.

Terwijl mensen vaak bedoelen dat ze een korte, oppervlakkige test willen, kost een "OWASP top 10 test" ons eigenlijk meer werk dan een normale test.

Het top 10 project van OWASP omschrijft dus niet een test werkwijze, en het is niet mogelijk om onze testactiviteiten te beperken of concentreren op slechts enkele soorten kwetsbaarheden. Tests die wel volgens een leidraad van OWASP kunnen worden gedaan, zijn bijvoorbeeld:

Related

Vest in tv-programma RTL Z How it's Done

Vest in tv-programma RTL Z How it's Done

Op zaterdag 16 maart om 17h00 zal Vest te zien zijn in het RTL Z televisie programma How it's Do...

Read More >
Letter en geest

Letter en geest

Als een rechter een beslissing maakt op basis van de bedoeling van een stuk wetgeving, in plaats van...

Read More >
Vest in tv-programma RTL Z How It's Done: Bekijk hier het fragment

Vest in tv-programma RTL Z How It's Done: Bekijk hier het fragment

Bekijk het How It's Done-fragment waarin Vest-oprichter en directeur Marc Hullegie aan het woord...

Read More >
Mobiele applicatie security testing

Mobiele applicatie security testing

Voldoet uw mobiele app aan al de eisen? Denk hierbij aan ISO27001, GDPR, AVG, PCI en meer. Samen met...

Read More >
Bewust omgaan met je omgeving

Bewust omgaan met je omgeving

Weet jij wie er mee kan lezen of luisteren? Sta jij daar wel eens bij stil? Feit is dat we hier vaak...

Read More >
Een datalek zit in een klein hoekje

Een datalek zit in een klein hoekje

De mogelijke effecten van het lekken van gevoelige gegevens kunnen inderdaad tegenwoordig flink verg...

Read More >

Op de hoogte blijven van ons laatste nieuws?

Regelmatig delen onze Business Area Managers nieuws vanuit hun domein van expertise. Wilt u op de hoogte gehouden worden van deze nieuwsitems? Schrijf u dan nu in voor onze nieuwsbrief.