Referensi dan sumber

Sumber OWASP

Asal pengetahuan spesialisasi OWASP bawaan, dipetakan ke halaman serangan dan Cheat Sheet OWASP yang kanonis.

Dokumen ini memetakan setiap serangan (www-community) dan Cheat Sheet (CheatSheetSeries) OWASP ke sebuah kategori keamanan, masing-masing dengan tautan ke halaman publik kanonisnya. Dalam satu kategori, item yang setara berbagi satu baris daftar periksa: serangan dan cheat sheet yang menangani risiko yang sama dicantumkan bersama, dipisahkan koma. Item tanpa padanan langsung berdiri di barisnya sendiri.

  • Kredit sepenuhnya milik OWASP. Serangan ada di https://owasp.org/www-community/attacks/<attack> dan cheat sheet di https://cheatsheetseries.owasp.org/cheatsheets/<cheat>.html.

1. Injection (umum)​

2. Injection SQL dan basis data​

3. Injection perintah sistem operasi​

4. Injection LDAP, XPath, dan XML​

5. Cross-Site Scripting (XSS)​

6. Cross-Site Request Forgery (CSRF) dan clickjacking​

7. Pengalihan dan penerusan​

8. Kontrol akses dan otorisasi​

9. Autentikasi dan kredensial​

10. Manajemen sesi​

11. Federasi identitas (OAuth, SAML, dan JWT)​

12. Kriptografi dan keamanan transport​

13. Server-Side Request Forgery (SSRF)​

14. Path traversal dan penanganan file​

15. Penyalahgunaan protokol HTTP (header, cache, dan splitting)​

16. Encoding dan content spoofing​

17. Injection CSV dan spreadsheet​

18. CORS (Cross-Origin Resource Sharing)​

19. Denial of service​

20. Keamanan memori dan kode native​

21. Kode mobile dan eksekusi kode tidak tepercaya​

22. Deserialisasi​

23. Malware dan ancaman sisi klien​

24. Logging, repudiasi, dan penanganan error​

25. Logika bisnis dan penyalahgunaan fungsionalitas​

Logika bisnis dan penyalahgunaan fungsionalitas tidak punya satu permukaan kode yang bisa dipertahankan oleh spesialisasi per permukaan: pertahanannya adalah desain yang spesifik untuk tiap aplikasi, penalaran yang sama yang mendasari threat modeling proyek. Dipindahkan ke "Di luar cakupan".

26. Keamanan AI, LLM, dan agen​

27. Prototype pollution dan cross-site leaks​

28. Framework dan platform bahasa​

29. Front-end web dan browser​

30. API dan layanan​

31. Cloud, container, dan infrastruktur​

Konfigurasi container dan workload adalah config-as-code yang dikirim developer bersama aplikasinya (Dockerfile, Compose, securityContext milik Pod), permukaan nyata yang diperbaiki oleh harden dan dibuktikan oleh verify, jadi masuk dalam cakupan. Administrasi cluster (RBAC, etcd, API server, admission, segmentasi jaringan) adalah ranah operator dan tetap di luar cakupan.

32. Rantai pasok dan CI/CD​

33. Secret dan konfigurasi​

Manajemen secret bersifat operasional: vault, CI/CD, konfigurasi cloud, rotasi. Satu-satunya sisi di level kode (secret yang hardcoded di kode sumber) adalah pemindaian deterministik, bukan spesialisasi risiko. Dipindahkan ke "Di luar cakupan".

34. Proses, desain, dan tata kelola​

Perlindungan privasi pengguna adalah urusan kebijakan dan desain (minimalisasi data, transparansi, retensi), bukan permukaan kode yang dipertahankan sebuah spesialisasi. Dipindahkan ke "Di luar cakupan".

35. Pembayaran dan kepatuhan​

36. Sistem embedded, IoT, dan domain khusus​

Keamanan otomotif dan drone adalah domain sistem embedded (CAN bus, firmware OTA, integritas sensor dan radio, akses fisik), bukan kode sumber aplikasi web atau API yang diaudit Lagune. Dipindahkan ke "Di luar cakupan".

Di luar cakupan (tanpa permukaan kode)​

Item berikut bukan wilayah spesialisasi dan tidak punya kotak centang: semuanya berupa tata kelola, proses, hardening operasional, atau penggunaan framework, tanpa satu permukaan kode yang bisa dipertahankan oleh spesialisasi per permukaan. Nilai keamanannya nyata, tetapi letaknya di proses dan arsitektur (atau, untuk framework, di skill bahasa itu sendiri), bukan di pertahanan yang dibawa katalog ini. Dicantumkan sebagai referensi, bukan sebagai pekerjaan.