Referanser og kilder

OWASP-kilder

Hvor kunnskapen i de innebygde OWASP-spesialiseringene kommer fra, koblet til de kanoniske OWASP-sidene om angrep og Cheat Sheets.

Dette dokumentet knytter hvert angrep (www-community) og hvert Cheat Sheet (CheatSheetSeries) fra OWASP til en sikkerhetskategori, hver med lenke til den kanoniske offentlige siden. Innenfor en kategori deler likeverdige oppføringer én linje i sjekklisten: Angrepene og Cheat Sheets som håndterer den samme risikoen, står sammen, skilt med komma. Oppføringer uten en direkte motpart står på en egen linje.

  • Æren tilhører OWASP. Angrepene ligger på https://owasp.org/www-community/attacks/<attack>, og Cheat Sheets på https://cheatsheetseries.owasp.org/cheatsheets/<cheat>.html.

1. Injeksjon (generelt)​

2. SQL- og databaseinjeksjon​

3. OS- og kommandoinjeksjon​

4. LDAP-, XPath- og XML-injeksjon​

5. Cross-Site Scripting (XSS)​

6. Cross-Site Request Forgery (CSRF) og clickjacking​

7. Omdirigeringer og videresendinger​

8. Tilgangskontroll og autorisasjon​

9. Autentisering og påloggingsdetaljer​

10. Økthåndtering​

11. Identitetsføderasjon (OAuth, SAML og JWT)​

12. Kryptografi og transportsikkerhet​

13. Server-Side Request Forgery (SSRF)​

14. Path traversal og filhåndtering​

15. Misbruk av HTTP-protokollen (headere, caching, splitting)​

16. Koding og innholdsforfalskning​

17. CSV- og regnearkinjeksjon​

18. CORS (Cross-Origin Resource Sharing)​

19. Tjenestenekt​

20. Minnesikkerhet og native kode​

21. Mobil kode og kjøring av ikke-klarert kode​

22. Deserialisering​

23. Skadevare og trusler på klientsiden​

24. Logging, benektelse og feilhåndtering​

25. Forretningslogikk og misbruk av funksjonalitet​

Forretningslogikk og misbruk av funksjonalitet har ingen enkelt flate i koden som en spesialisering per flate kan forsvare: Forsvaret ligger i applikasjonsspesifikt design, den samme vurderingen som trusselmodelleringen i prosjektet driver. Flyttet til "Utenfor omfanget".

26. Sikkerhet for KI, LLM og agenter​

27. Prototype pollution og cross-site leaks​

28. Rammeverk og språkplattformer​

29. Webfrontend og nettleser​

30. API-er og tjenester​

31. Sky, containere og infrastruktur​

Konfigurasjon av containere og arbeidslaster er konfigurasjon som kode som utvikleren leverer sammen med appen (Dockerfile, Compose, securityContext for Pod), en reell flate som harden utbedrer og verify beviser, så den er innenfor omfanget. Klyngeadministrasjon (RBAC, etcd, API-server, admission, nettverkssegmentering) er driftsansvarliges domene og holdes utenfor omfanget.

32. Forsyningskjede og CI/CD​

33. Hemmeligheter og konfigurasjon​

Håndtering av hemmeligheter er en driftsoppgave: hvelv, CI/CD, skykonfigurasjon, rotasjon. Den ene siden som gjelder koden (en hemmelighet hardkodet i kildekoden), dekkes av en deterministisk gjennomgang, ikke av en risikospesialisering. Flyttet til "Utenfor omfanget".

34. Prosess, design og styring​

Personvern for brukere handler om retningslinjer og design (dataminimering, åpenhet, oppbevaring), ikke om en flate i koden som en spesialisering forsvarer. Flyttet til "Utenfor omfanget".

35. Betalinger og etterlevelse​

36. Innebygde systemer, IoT og spesialiserte domener​

Sikkerhet for kjøretøy og droner hører til domenet for innebygde systemer (CAN-buss, OTA-fastvare, integritet for sensorer og radio, fysisk tilgang), ikke til kildekoden for web- og API-applikasjoner som Lagune reviderer. Flyttet til "Utenfor omfanget".

Utenfor omfanget (ingen flate i koden)​

Dette er ikke områder for spesialiseringer og har ingen avkrysningsboks: Det dreier seg om styring, prosess, herding av driften eller bruk av rammeverk, uten en enkelt flate i koden som en spesialisering per flate kan forsvare. Sikkerhetsverdien er reell, men den ligger i prosess og arkitektur (eller, for et rammeverk, i den egne skillen for det språket), ikke i et forsvar denne katalogen leverer. De står her som referanse, ikke som arbeid som gjenstår.