Tweet
Tweet

Slide 1

Slide 1 text

OWASP + DevOps, kilka przydatnych narzędzi Mateusz Olejarka

Slide 2

Slide 2 text

About • Pentester @ SecuRing • Były programista • Trener • w OWASP Poland od 4 lat

Slide 3

Slide 3 text

Agenda • Co to OWASP? • Co ma dla mnie (dla Was) ciekawego? • Narzędzia • Q&A

Slide 4

Slide 4 text

Disclaimer • To tylko przegląd narzędzi • Nie, nie korzystam sam • Uważam, że warto przynajmniej rzucić na nie tak zwanym okiem

Slide 5

Slide 5 text

OWASP • Misja • Projekty – Dokumenty – Narzędzia • Listy dyskusyjne

Slide 6

Slide 6 text

Narzędzia • Dependency check • Dependency-Track • ESAPI • AppSensor • ZAP • oSaft

Slide 7

Slide 7 text

OWASP Dependency Check • Weryfikacja podatności w bibliotekach • Problem: OWASP Top 10 2013 A9 Using Components with Known Vulnerabilities • Status: FLAGSHIP • Korzysta z NIST National Vulnerability Database • Produkuje raport

Slide 8

Slide 8 text

OWASP Dependency Check • Wspierane technologie: • Użycie: – Command line – Ant - zadanie – Jenkins plugin – Maven plugin

Slide 9

Slide 9 text

• Aplikacja WWW • Status: LAB (v1.0.0 15.02.2015) • Korzysta z OWASP Dependency Check • Możliwości: – Zarządzanie listą aplikacji wraz z wykorzystywanymi komponentami – Dashboard 

Slide 10

Slide 10 text

No content

Slide 11

Slide 11 text

No content

Slide 12

Slide 12 text

OWASP ESAPI • Enterprise Security API • Status: ? • Wspierane technologie*: • Wersje: – v 2.0 (10.2013 release) – v 3.0 (10.2014 last commit)

Slide 13

Slide 13 text

OWASP ESAPI Naming conventions such as this are not part of ESAPI but are good practice Step Step 1 2 $clean = array(); //this is local in scope $clean_sql = array(); //this is local in scope $clean['id'] = ESAPI::getValidator()->getValidInput( ... ); $clean_sql['id'] = ESAPI::getEncoder()->encodeForSQL( new MySQLCodec(), $clean['id'] ); This is also an ESAPI control

Slide 14

Slide 14 text

OWASP AppSensor • Framework pozwalający na wbudowanie w aplikację mechanizmów wykrywania i obsługi incydentów • Status: ? (v2.0, last commit 26.02.2015) • Oferuje: – Wiedzę jak się bronić – Referencyjną implementację

Slide 15

Slide 15 text

OWASP AppSensor

Slide 16

Slide 16 text

OWASP AppSensor

Slide 17

Slide 17 text

OWASP AppSensor

Slide 18

Slide 18 text

OWASP Zed Attack Proxy • HTTP proxy++ • Status: FLAGSHIP • Możliwości: – Skaner automatyczny • Pasywny • Aktywny – API – Możliwość skryptowania

Slide 19

Slide 19 text

OWASP Zed Attack Proxy • HTTP proxy++ • Status: FLAGSHIP • Możliwości: – Skaner automatyczny • Pasywny • Aktywny – API – Możliwość skryptowania Application Errors Cache Control Content Type Missing Cookie HTTP Only Cookie Secure Flag Cross Domain Script Inclusion Header XSS Protection Mixed Content Password Autocomplete Private Address Disclosure Session Id in URL X-Content-Type-Options X-Frame-Option

Slide 20

Slide 20 text

OWASP Zed Attack Proxy • HTTP proxy++ • Status: FLAGSHIP • Możliwości: – Skaner automatyczny • Pasywny • Aktywny – API – Możliwość skryptowania Code Injection Command Injection Client Browser Cache Cross Site Scripting (reflected) Cross Site Scripting (persistent) Directory Browsing External Redirect CRLF Injection Parameter Tampering Path Traversal Remote File Include Server Side Include SQL Injection

Slide 21

Slide 21 text

OWASP Zed Attack Proxy • Użycie (API): – Ant - zadanie – Maven plugin – Python, Node.js – …

Slide 22

Slide 22 text

O-Saft • Weryfikacja (aktywna) konfiguracji SSL/TLS • Problem: OWASP Top 10 2013 A6 Sensitive Data Exposure • Status: LAB • Użycie: command line

Slide 23

Slide 23 text

Q&A ???

Slide 24

Slide 24 text

Dziękuję za uwagę [email protected] @molejarka

Slide 25

Slide 25 text

Materiały • https://www.owasp.org/index.php/Category:OWASP_Project • https://www.owasp.org/index.php/OWASP_Dependency_Check • https://www.owasp.org/index.php/OWASP_Dependency_Track_Project • https://www.owasp.org/index.php/Category:OWASP_Enterprise_Security_API • https://github.com/ESAPI • https://www.owasp.org/index.php/OWASP_AppSensor_Project • https://github.com/jtmelton/appsensor • https://www.owasp.org/index.php/OWASP_Zed_Attack_Proxy_Project • https://www.owasp.org/index.php/O-Saft