OWASP

Présentation effectuée à Meetup Lizard Secu (avril 2019) par Christophe Villeneuve et Jean François Baillette sur "OWASP".

Une présentation pour parler de OWASP et leur rôle

Transcript

1. @hellosct1 @hellosct1@mamot.fr Christophe Villeneuve OWASP Lizard Secu – Meetup #1 – 10 avril 2019 Jean François Baillette @jfbaillette
2. OWASP (1/2) • OWASP – Open Web Application Security Project • Organisation à but non lucratif • Communauté ouverte • Le plus connu – Liste des risques de sécurité • TOP 10 • C’est : – Des outils – Des APIs – De la documentation – Des guides – Des conférences – Des blogs – Des contenus • Audio / vidéo • Podcast
3. OWASP (2/2) • Guide de développement – https://www.owasp.org/index.php/Projects/OWASP_Development_Guide • Guide des tests – https://www.owasp.org/index.php/OWASP_Testing_Project • Revue de code – https://www.owasp.org/index.php/Category:OWASP_Code_Review_Project • Exemple d'application Webgoat – https://www.owasp.org/index.php/Category:OWASP_WebGoat_Project • Guide développeur – https://www.owasp.org/index.php/OWASP_Guide_Project
5. TOP 10 : OWASP (web) A1- Failles d'injection A2- Violation d'authentification et de Session A3- Données sensibles accessible A4- XML External Entity (XXE) A5- Contrôle d'accès cassé A6- Mauvaise configuration de sécurité A7- Cross-Site Scripting (XSS) A8- Désérialisation non sécurisée A9- Utilisation de composants connus vulnérables A10 -Gestion de log insuffisante et de monitoring 2013 2017 N M Hausse Baisse Identique Nouveau Baisse Merge A1- Failles d'injection A2- Violation d'authentification et de Session A3- Cross-Site Scripting (XSS) A4- Référence directe non sécurisée à un objet A5- Mauvaise configuration de sécurité A6- Données sensibles accessible A7- Manque de sécurité au niveau des rôles A8- Falsification de requête (CSRF) A9- Utilisation de composants connus vulnérables A10- Redirections non validées N M N N
6. Référentiel OWASP • Testing guide – https://www.owasp.org/index.php/OWASP_Testing_Project • Code review – https://www.owasp.org/index.php/Category:OWASP_Code_Review_Project • AppSec vérification standard – https://www.owasp.org/index.php/Category:OWASP_Application_Security_Verification _Standard_Project
7. Liens • OWASP – https://www.owasp.org • OWASP – TOP 10 – 2017 – https://www.owasp.org/images/7/72/OWASP_Top_10-2017_%28en%29.pdf.pdf
8. Christophe Villeneuve @hellosct1 @hellosct1@mamot.fr Jean François Baillette @jfbaillette Merci