OWASP

Wat is OWASP?

Het Open Web Application Security Project (OWASP) is een stichting die zich toelegt op het verbeteren van softwarebeveiliging. Tienduizenden leden zetten zich in om het internet voor iedereen veilig te maken. ROX Digital Agency is één van die leden die beveiligingsproblemen probeert te detecteren en op te lossen. In onze projecten zorgen we er actief voor dat we een goede beveiligingsstandaard hanteren.

Hoe we OWASP inzetten

In ieder project een up-to-date beveiligingsstandaard, dat is wat we met OWASP bereiken. Naast het doornemen en op de hoogte zijn van de documentatie die de stichting aanbiedt, maken we gebruik van een krachtige tool die door de foundation wordt onderhouden: ZAP. Met OWASP ZAP voeren we tijdens de ontwikkeling van onze projecten, een security scan uit die eventuele beveiligingsproblemen opvangt.

Developer achter computer met programmeercode

Waarom we OWASP ZAP gebruiken?

OWASP ZAP is dé standaard in software security. Het is 's werelds meest gebruikte web app-scanner, die actief wordt onderhouden door een team van duizenden mensen. Dit maakt de scanner actueel en betrouwbaar. We hebben ZAP in al onze werkzaamheden geïntegreerd en geautomatiseerd, waardoor controles snel en soepel verlopen. Bovendien kan de tool gratis worden gebruikt, wat het proces ook nog eens kosteneffectief maakt.

Onze OWASP projecten

Veel van onze partners en klanten eisen de hoogste vorm van security. Bekijk enkele van onze projecten waarin we OWASP in onze workflows hebben geïmplementeerd.

RijksoverheidDigitale toegankelijkheid verhogen dankzij inzichtelijk ICT-dashboard

Grafische weergave van vastgoed projectsites

Heijmans VastgoedEen snelle en effectieve template builder voor 100+ vastgoed projectwebsites

De OWASP top 10

De OWASP top 10 wordt jaarlijks bijgewerkt door de OWASP Foundation. De lijst bestaat uit 10 categorieën van beveiligingsproblemen die door leden van de Foundation als de meest kritieke worden beschouwd. Dit belangrijke document wordt door specialisten over de hele wereld gebruikt om bijvoorbeeld PEN-testen uit te voeren. Ook ROX draagt hieraan bij en we zorgen er tevens voor dat het rapport wordt gebruikt om veiligheidsrisico's in onze processen te beperken.

Broken Access Control

Er is sprake van Broken Access Control wanneer een gebruiker andere rechten heeft dan bedoeld, waardoor de gebruiker bijvoorbeeld informatie kan inzien waartoe geen toegang is verleend. Een goed voorbeeld is het bekijken van formulier inzendingen door een partij die hier geen goedkeuring voor heeft, wat leidt tot een GDPR datalek.

Cryptographic Failures

Cryptographic failures zijn over het algemeen, net als broken access control, gericht op gevoelige informatie. Het verschil is dat het bij deze categorie gaat om een probleem in de beveiliging van data, in plaats van toegang. Dit gebeurd bijvoorbeeld wanneer een website inlog- of betaalfunctionaliteit heeft zonder dat er gebruikt wordt gemaakt van een versleutelde HTTPS verbinding.

Injection

Injection kan plaatsvinden wanneer ingevoerde data niet gevalideerd wordt, waardoor een kwaadwillende ervoor kan zorgen dat hij data kan manipuleren. Het klassieke voorbeeld is een student met de bijnaam Bobby Tables. Wanneer zijn volledige naam wordt ingevoerd in een school database, wordt de studentendatabase leeggemaakt.

Insecure Design

Insecure Design is een interessante categorie waar het probleem niet zit in de implementatie van een functionaliteit, maar in het ontwerp. Vaak gaat het hier om volledig missende functionaliteiten. Een voorbeeld is het ontbreken van een rollenbeheer-systeem, waardoor elke gebruiker volledige admin rechten heeft binnen een applicatie.

Security Misconfiguration

Bij een “Security misconfiguration” gaat het vaak om server configuratie die niet goed is uitgevoerd. Dit kan er bijvoorbeeld voor zorgen dat de server aan de browser doorgeeft welke software applicaties er gebruikt worden, of dat bestanden met gevoelige informatie niet op de juiste manier zijn afgeschermd.

Vulnerable and Outdated Components

Het gaat hier om een component dat zowel kwetsbaar als verouderd is. Denk bijvoorbeeld aan een third-party pakket dat niet langer wordt onderhouden, terwijl er een beveiligingsprobleem is ontdekt in de dependencies. Door dit probleem is niet alleen het third-party pakket kwetsbaar, maar ook de applicaties die dit pakket gebruiken.

Identification and Authentication Failures

Dit is de meeste bekende categorie; het omvat problemen zoals onveilige wachtwoorden en hints tijdens het inlogproces of wachtwoord reset proces. Dit laatste kan worden gebruikt om te bepalen of een account wel of niet bestaat.

Software and Data Integrity Failures

Deze kwetsbaarheid komt vooral voor in processen waarbij er onvoldoende controle is op de betrouwbaarheid van data. Denk bijvoorbeeld aan een NPM pakket dat malware bevat, of om het gebruik van een softwarepakket of update zonder dat de bron is geverifieerd. De meest bekend uiting van dit probleem was de SolarWinds Orion aanval in 2020.

Security Logging and Monitoring Failures

Omdat het handmatig nalopen van alle mogelijke soorten aanvallen erg tijdrovend is, gebruiken specialisten tools om dit zoveel mogelijk te automatiseren. Een bijbehorend risico is dat deze tools kwetsbaarheden missen, waardoor een probleem niet bekend is, of dat de logging aan de applicatiezijde de aanval niet (of niet goed) registreert.

Server Side Request Forgery

Server-side request forgery is een kwetsbaarheid die het mogelijk maakt om meer informatie over een systeem of netwerk op te vragen. Een voorbeeld is een port-scan op een intern netwerk, waarmee precies kan worden achterhaald waar de webserver draait, waarna een DDOS-aanval op de specifieke webserver kan worden ingezet.

Ben je op zoek naar een digital agency?

We ontwikkelen digitale producten die bedrijven helpen groeien. Neem contact met ons op om jouw project te starten.

Naam

E-mailadres

Telefoonnummer

Services

Strategy & Advice

Concept & Design

Technologie & Engineering

Support & Scale

Over ons