OWASP Top 10

Mapa comparativo de los OWASP Top 10 de los años 2017 y 2021.
Comparación entre los riesgos en la seguridad de las aplicaciones web de los años 2017 y 2021.

OWASP Top 10[1] es un documento de los diez riesgos de seguridad más importantes en aplicaciones web según la Fundación OWASP (en inglés, Open Web Application Security Project; en español "Proyecto Abierto de Seguridad de Aplicaciones Web").[2] Esta lista se publica y actualiza cada tres o cuatro años por parte de la Fundación OWASP.

El objetivo del proyecto OWASP Top 10 es crear conciencia acerca de la seguridad en aplicaciones mediante la identificación de algunos de los riesgos más críticos que enfrentan las organizaciones.[2] Asimismo, estos riesgos de seguridad son referenciados en artículos científicos, tesis de pregrado y postgrado, libros de seguridad y organizaciones como MITRE,[3] SANS, PCI DSS,[4] DISA, FCT.

Historia

OWASP Top 10 fue lanzado por primera vez en 2003, con actualizaciones en 2004, 2007, 2010, 2013, 2017 y 2021. La versión 2010 fue renovada para dar prioridad al riesgo, no sólo a la prevalencia. La edición 2013 siguió el mismo enfoque,[2] mientras que en la edición del año 2021 se cambiaron algunos nombres de los riesgos para subrayar la causa principal del riesgo en vez del síntoma.[5]

Hay una versión inicial del 2003 pero no hay detalles en la página del proyecto más que la lista de los riesgos de seguridad de ese entonces.

Entregas o actualizaciones del OWASP Top 10

OWASP Top 10 2003OWASP Top 10 2004OWASP Top 10 2007OWASP Top 10 2010OWASP Top 10 2013 OWASP Top 10 2017 OWASP Top 10 2021
A1-Entrada no validadaA1-Entrada no validadaA1-Secuencia de comandos en sitios cruzados XSSA1-InyecciónA1-Inyección A1 - Inyección A1 - Pérdida de control de acceso
A2-Control de acceso interrumpidoA2-Control de acceso interrumpidoA2-Fallas de inyecciónA2-Secuencia de comandos en sitios cruzados XSSA2-Pérdida de autenticación y gestión de sesiones A2 - Pérdida de Autenticación A2 - Fallas criptográficas
A3-Administración de cuentas y sesión interrumpidaA3-Administración de autenticación y sesión interrumpidaA3-Ejecución de ficheros malintencionadosA3-Pérdida de autenticación y gestión de sesionesA3-Secuencia de comandos en sitios cruzados XSS A3 - Exposición de datos sensibles A3 - Inyección
A4-Fallas de cross site scripting XSSA4-Fallas de cross site scripting XSSA4-Referencia insegura y directa a objetosA4-Referencia directa insegura a objetosA4-Referencia directa insegura a objetos A4 - Entidades Externas XML (XXE) A4 - Diseño inseguro (nueva categoría)
A5-Desbordamiento de buferA5-Desbordamiento de buferA5-Falsificación de peticiones en sitios cruzados CSRFA5-Falsificación de peticiones en sitios cruzados CSRFA5-Configuración de seguridad incorrecta A5 - Pérdida de Control de Acceso A5 - Configuración de seguridad incorrecta
A6-Fallas de inyección de comandosA6-Fallas de inyecciónA6-Revelación de información y gestión incorrecta de erroresA6-Defectuosa configuración de seguridadA6-Exposición de datos sensibles A6 - Configuración de Seguridad Incorrecta A6 - Componentes vulnerables y desactualizados
A7-Problemas de manejo de erroresA7-Manejo inadecuado de erroresA7-Pérdida de autenticación y gestión de sesionesA7-Almacenamiento criptográfico inseguroA7-Ausencia de control de acceso a las funciones A7 - Secuencia de Comandos en Sitios Cruzados (XSS) A7 - Fallas de identificación y autenticación
A8-Uso inseguro de criptografíaA8-Almacenamiento inseguroA8-Almacenamiento criptográfico inseguroA8-Falla de restricción de acceso a URLA8-Falsificación de peticiones en sitios cruzados CSRF A8 - Deserialización Insegura A8 - Fallas en el software y en la integridad de los datos (nueva categoría)
A9-Fallas de administración remota(no aplicable)A9-Negación de servicioA9-Comunicaciones insegurasA9-Protección insuficiente en la capa de transporteA9-Uso de componentes con vulnerabilidades conocidas A9 - Componentes con vulnerabilidades conocidas A9 - Fallas en el registro y monitoreo
A10-Configuración indebida de servidor web y de aplicaciónA10-Administración de configuración inseguraA10-Falla de restricción de acceso a URLA10-Redirecciones y reenvíos no validadosA10-Redirecciones y reenvíos no validados A10 - Registro y Monitoreo Insuficientes A10 - Falsificación de solicitudes del lado del servidor (SSRF)

Referencias

  1. ↑ «OWASP-TOP 10 Archives». Blog (en inglés británico). Archivado desde el original el 5 de julio de 2020. Consultado el 5 de julio de 2020.
  2. 1 2 3 «OWASP top 10-2013 Los diez Riesgos más Críticos en Aplicaciones Web». OWASP: 22. 2014. Archivado desde el original el 30 de marzo de 2014. Consultado el 10 de mayo de 2014.
  3. ↑ CWE/SANS Top 25. «2011 CWE/SANS Top 25 Most Dangerous Software Errors» (en inglés). Consultado el 20 de mayo de 2014.
  4. ↑ «Requisitos y procedimientos de evaluación de seguridad.». PCI Security Standards Council. Mayo de 2018. Archivado desde el original el 22 de noviembre de 2022. Consultado el 28 de junio de 2022.
  5. ↑ «Inicio - OWASP Top 10:2021». owasp.org. Consultado el 29 de junio de 2022.

Enlaces externos

https://www.owasp.org/images/5/57/OWASP_Proactive_Controls_2.pdf

Este artículo ha sido escrito por Wikipedia. El texto está disponible bajo la licencia Creative Commons Attribution-Share Alike 4.0. Pueden aplicarse cláusulas adicionales a los archivos multimedia.