What is an Application Vulnerability?

Applicazioni comuni Vulnerabilità Exploit

Sebbene vengano creati regolarmente nuovi exploit e zero day, questi spesso sfruttano un piccolo insieme di vulnerabilità. Molte di queste vulnerabilità sono note da anni, ma continuano a comparire nel codice delle applicazioni.

La Top Ten List di OWASP è una risorsa ben nota che evidenzia alcune delle vulnerabilità più comuni e d'impatto che appaiono nelle applicazioni (con un focus sulle applicazioni web). La versione attuale dell'elenco OWASP Top Ten è stata rilasciata nel 2021 e comprende le seguenti dieci vulnerabilità:

1. Controllo degli accessi interrotto
2. Fallimenti crittografici
3. Iniezione
4. Design insicuro
5. Misconfigurazione della sicurezza
6. Componenti vulnerabili e obsoleti
7. Fallimenti di identificazione e autenticazione
8. Guasti al software e all'integrità dei dati
9. Fallimenti nella registrazione e nel monitoraggio della sicurezza
10. Falsificazione della richiesta lato server

Questo elenco descrive le classi generali di vulnerabilità con un'attenzione particolare alle cause principali di un problema. L'enumerazione delle debolezze comuni (CWE) fornisce informazioni sulle istanze specifiche di un determinato problema. Ogni vulnerabilità della OWASP Top Ten contiene un elenco di uno o più CWE associati. Ad esempio, Fallimenti crittografici include un elenco di ventinove CWE mappati, come l'utilizzo di una chiave crittografica codificata o la verifica impropria delle firme crittografiche.

Modi per rimediare alle vulnerabilità dell'applicazione

Con l'adozione delle pratiche DevSecOps da parte dei team di sviluppo, l'automazione della gestione delle vulnerabilità è essenziale per garantire la sicurezza e al tempo stesso soddisfare gli obiettivi di sviluppo e rilascio. I team di sviluppo possono utilizzare una serie di strumenti per identificare le vulnerabilità delle applicazioni, tra cui:

• Applicazione statica Test di sicurezza (SAST): Gli strumenti SAST analizzano il codice sorgente di un'applicazione senza eseguirla. Questo permette di identificare alcune vulnerabilità nelle prime fasi del ciclo di vita dello sviluppo del software, quando un'applicazione non è in uno stato eseguibile.
• Applicazione dinamica Test di sicurezza (DAST): Le soluzioni DAST interagiscono con un'applicazione in esecuzione, eseguendo una valutazione della vulnerabilità in scatola nera. Gli strumenti DAST sono progettati per cercare vulnerabilità note e sconosciute all'interno di un'applicazione, inviando input maligni comuni e richieste casuali e malformate generate con il fuzzing.
• Test di sicurezza dell'applicazione interattiva (IAST): Le soluzioni IAST utilizzano la strumentazione per ottenere visibilità sulle applicazioni in esecuzione. Con questa visibilità interna, le soluzioni IAST possono identificare problemi che potrebbero non essere rilevabili con un approccio DAST a scatola nera.
• Analisi della composizione del software (SCA): La maggior parte delle applicazioni include codice di terze parti, come librerie e dipendenze, che possono anche contenere vulnerabilità sfruttabili. L'SCA fornisce visibilità sul codice esterno utilizzato all'interno di un'applicazione, rendendo possibile l'identificazione e la correzione delle vulnerabilità note in questo software.

Un flusso di lavoro DevSecOps efficace integrerà la maggior parte o tutti questi approcci in pipeline CI/CD automatizzate. In questo modo si massimizza la probabilità che le vulnerabilità vengano identificate e corrette il più rapidamente possibile, riducendo al minimo le spese e le interruzioni per gli sviluppatori.