2019年度OWASP中国项目总结
2019 OWASP中国 项目总结
带你一起走向
OWASP中国项目
01
OWASP Top 10 Proactive Controls V3中文版
介绍
OWASP十大主动控制2018是一组每个软件开发项目都应考虑和实现的安全技术列表。本文档是为开发人员编写的,以帮助刚接触安全开发的开发人员。
本文档的主要目标之一是提供具体的实践指导，以帮助开发人员开发安全的软件。这些控制机制应在软件开发的早期阶段积极应用，以确保能产生最大的效力。
十大主动控制
本列表按重要性排序，其中第1个列表项是最重要的：
C1：定义安全需求（Define Security Requirements）
C2：使用安全框架和库（Leverage Security Frameworks and Libraries）
C3：安全的数据库访问（Secure Database Access）
C4：数据编码与转义（Encode and Escape Data）
C5：验证所有输入（Validate All Inputs）
C6：实现数字身份（Implement Digital Identity）
C7：实施访问控制（Enforce Access Controls）
C8：保护所有的数据（Protect Data Everywhere）
C9：实施安全日志记录和监控（Implement Security Logging and Monitoring）
C10：处理所有错误和异常（Handle All Errors and Exceptions）
项目组：
项目组长：王颉
项目组成员：郭振新、李瑞、李永凯、秦波、张京河
下载
英文版本：
OWASP Top 10 Proactive Controls V3
中文版本：
02
OWASP无服务器应用安全风险TOP 10
介绍
本报告基于2017年版的《OWASP Top 10》文档，对《OWASP Top 10》中的每个风险从以下六个方面进行审视：
* 针对无服务器应用，可能出现的新攻击向量；
* 为什么无服务应用容易受到此类攻击以及如何攻击；
* 对于云账户的业务影响；
* 预防和减轻此类风险或攻击的最佳实践和建议；
* 攻击案例场景，展示可能的漏洞和利用手法；
* 综合考虑该风险的攻击向量、安全弱点、影响、识别风险和减轻风险的能力，该风险在无服务器应用中是更高了、更低了还是相同？
项目组：
项目组长：肖文棣、王颉
项目组成员：刘晓辉、李宇全、明敏、王斌
下载
英文文档：
https://www.owasp.org/index.php/OWASP_Serverless_Top_10_Project
中文文档：
03
OWASP IoT TOP 10 2018中文版
介绍
“OWASP IoT项目”始于2014年，旨在帮助开发人员、制造商、企业和消费者在创建和使用物联网系统时做出更好的决策。OWASP 发布的 2018年 OWASP IoT Top 10，也延续了这一理念，并使用一个单一的列表来说明在构建、部署或管理物联网系统时应该规避的十大问题，以便解决制造商、企业和消费者的最高优先级问题。
项目组：
360代码卫士团队：申少华、韩建、章磊
开源网安团队：曹传勇、张海春
下载
英文文档：
https://www.owasp.org/index.php/OWASP_Internet_of_Things_Project#tab=IoT_Top_10
中文文档：
04
区块链安全TOP 10 2019
介绍
OWASP中国成立专门研究小组，收集、整理和分析了2011年至2019年间共160个典型区块链安全事件，并在本文档中给出了排列和描述，希望能帮助到广大的区块链从业者和关注区块链安全的人们。
在参考了类似CVSS（Common Vulnerability Scoring System）等安全威胁评估方法之后，本文以每类威胁历史安全事件所导致的直接经济损失总额为依据，通过客观数据评估威胁大小。直接经济损失总额包含了威胁评估的两个重要因素，一是威胁发生的数量，即，威胁发生的次数；二是威胁发生导致的影响，即，直接经济损失。所以，直接经济损失足以表示威胁的大小，且数据相对客观，避免了主观数据导致评估结果误差较大问题，同时，该评估方式更具有良好的解释性。
1）高级可持续威胁
2）失控的币值通胀
3）失效的权限控制
4）不安全的共识协议
5）考虑不充分的程序逻辑
6）不严谨的业务策略
7）校验不严格的交易逻辑
8）脆弱的随机数机制
9）存在缺陷的激励机制
10）日志记录和监控不足
项目组：
项目组长：付山阳
项目组成员：Kevin Gu、Victor Fang、Wei Quan、侯欣杰、蒋旭宪、宋飞、王颉、张迅迪
下载
文档下载：
http://www.owasp.org.cn/owasp-project/533a575794fe5b895168top10
05
数据库审计系统测评基准
介绍
数据库审计系统旨在帮助存储和使用数据的单位对核心数据进行全面监控和安全审计，真实掌握数据动态，直观清晰的定位什么人、什么时间、什么工具、什么地方、对数据做了哪些操作。目前，行业中已形成了相应的数据库审计解决方案。但由于缺乏恰当的评估基准，数据库审计的效果无法得到有效的评估。
本基准是建设、评估数据库审计系统的基础性和框架性基准，给出了对数据库审计系统的通用要求。制定本基准的意义在于：
a) 为数据库审计系统的设计、实施、建设、测评、审核提供规范的、通用的描述语言；
b) 有利于数据库审计系统所有者编制其系统的要求；
c) 有利于数据库审计系统提供商提供更为科学规范化的设计和服务，促进行业的发展；
d) 有利于有关行政管理部门、测评认证机构对数据库审计系统进行安全检查、检测、审计、评估和认证。
范围：本基准适用于数据库审计系统。
项目组：
深圳昂楷科技有限公司、深圳开源互联网安全技术有限公司
下载
文档下载
06
Web应用防火墙测评基准V2.0
介绍
WAF2.0在V1.0的基础上对整体测试框架重新定义，在新型攻击、产品性能（增值服务）、产品安全性能做了全面的拓展。V1.0版本主要以传统漏洞及类基础网络防火墙等功能为主，V2.0版本在此基础上进行删减和优化，增加了以OWASP TOP 2017 为主延伸出业务逻辑层防护、绕过防御多维度评级等。除本文件的特别要求外，除非另有说明，在安装和配置的过程中，所测试的Web应用防火墙产品必须符合本文档的要求，同时产品在安装前后及整个过程中都必须符合要求。
评估内容
主要基于OWASP TOP 10风险延伸出全面的安全漏洞防护测试，被测系统需要对从传统漏洞到业务逻辑层多维度的各类安全漏洞给予有效防护。
在识别安全漏洞保护Web应用时，被测系统应能够全面保障自身安全性，并需同时满足准确率和误报率。
通过特定环境、在特定时间内，检测被测系统执行指定功能的稳定性。
对被测设备进行架构设计、联动性、容错性、拓展性等测试。
项目组：
北京长亭科技有限公司、北京启明星辰信息安全技术有限公司、北京神州绿盟科技有限公司 、深圳开源互联网安全技术有限公司、四川虹微技术有限公司、厦门服云信息科技有限公司
下载
文档下载
更多精彩内容
请关注公众号
