Referencer og kilder

OWASP-kilder

Hvor viden i de indbyggede OWASP-specialiseringer kommer fra, koblet til de kanoniske sider om angreb og Cheat Sheets hos OWASP.

Dette dokument kobler hvert angreb (www-community) og hvert Cheat Sheet (CheatSheetSeries) fra OWASP til en sikkerhedskategori, hver med et link til sin kanoniske offentlige side. Inden for en kategori deler ensbetydende punkter én linje i tjeklisten: de angreb og Cheat Sheets, der handler om samme risiko, står sammen, adskilt af kommaer. Punkter uden en direkte modpart står på deres egen linje.

  • Æren tilfalder OWASP. Angrebene ligger på https://owasp.org/www-community/attacks/<attack> og Cheat Sheets på https://cheatsheetseries.owasp.org/cheatsheets/<cheat>.html.

1. Injection (generelt)​

2. SQL- og database-injection​

3. OS- og command injection​

4. LDAP-, XPath- og XML-injection​

5. Cross-Site Scripting (XSS)​

6. Cross-Site Request Forgery (CSRF) og clickjacking​

7. Omdirigeringer og videresendelser​

8. Adgangskontrol og autorisation​

9. Autentificering og loginoplysninger​

10. Sessionshåndtering​

11. Identitetsføderation (OAuth, SAML og JWT)​

12. Kryptografi og transportsikkerhed​

13. Server-Side Request Forgery (SSRF)​

14. Path traversal og filhåndtering​

15. Misbrug af HTTP-protokollen (headers, caching, splitting)​

16. Kodning og content spoofing​

17. CSV- og regnearks-injection​

18. CORS (Cross-Origin Resource Sharing)​

19. Denial of Service​

20. Hukommelsessikkerhed og native kode​

21. Mobil kode og kørsel af ikke-betroet kode​

22. Deserialisering​

23. Malware og trusler på klientsiden​

24. Logning, benægtelse og fejlhåndtering​

25. Forretningslogik og misbrug af funktionalitet​

Forretningslogik og misbrug af funktionalitet har ingen enkelt flade i koden, som en specialisering pr. flade kan forsvare: forsvaret er applikationsspecifikt design, efter samme ræsonnement som projektets trusselsmodellering. Flyttet til "Uden for omfanget".

26. Sikkerhed for AI, LLM og agenter​

27. Prototype pollution og cross-site leaks​

28. Frameworks og sprogplatforme​

29. Web-frontend og browser​

30. API'er og tjenester​

31. Cloud, containere og infrastruktur​

Konfigurationen af containere og workloads er configuration as code, som udvikleren leverer sammen med appen (Dockerfile, Compose, Pod-securityContext), en reel flade, som harden retter og verify påviser, så den er inden for omfanget. Administration af clusteret (RBAC, etcd, API-server, admission, netværkssegmentering) er driftens domæne og forbliver uden for omfanget.

32. Forsyningskæde og CI/CD​

33. Secrets og konfiguration​

Håndtering af secrets er en driftsopgave: vaults, CI/CD, cloud-konfiguration, rotation. Det ene aspekt på kodeniveau (en secret, der er hardcodet i kildekoden) er en deterministisk scanning, ikke en risikospecialisering. Flyttet til "Uden for omfanget".

34. Proces, design og governance​

Beskyttelse af brugernes privatliv er politik og design (dataminimering, gennemsigtighed, opbevaring), ikke en flade i koden, som en specialisering forsvarer. Flyttet til "Uden for omfanget".

35. Betalinger og compliance​

36. Indlejrede systemer, IoT og specialiserede domæner​

Sikkerhed i biler og droner hører til domænet for indlejrede systemer (CAN-bus, OTA-firmware, integritet af sensorer og radio, fysisk adgang), ikke til den kildekode i web- og API-applikationer, som Lagune gennemgår. Flyttet til "Uden for omfanget".

Uden for omfanget (ingen flade i koden)​

Disse er ikke områder for specialiseringer og har ingen afkrydsningsboks: de handler om governance, processer, driftsmæssig hærdning eller brug af frameworks uden en enkelt flade i koden, som en specialisering pr. flade forsvarer. Deres sikkerhedsværdi er reel, men den ligger i processer og arkitektur (eller, for et framework, i det pågældende sprogs egen skill), ikke i et forsvar, som dette katalog leverer. De står her som reference, ikke som opgaver.