توضیحات
معماری امنیتی OWASP (Open Web Application Security Project) یک پروژه جامع و باز به منظور بهبود امنیت نرم‌افزارها، وب‌سایت‌ها و برنامه‌های کاربردی است.
OWASP متشکل از مجموعه‌ای از توصیه‌ها، چک‌لیست‌ها، ابزارها، منابع آموزشی و شورش کنفرانس‌های امنیت نرم‌افزار است که توسط جامعه‌ی امنیت اطلاعات توسعه داده می‌شود.
در زیر چک‌لیست امنیتی OWASP برای برنامه‌های وب آورده شده است. این چک‌لیست می‌تواند به شما کمک کند تا از منظر امنیتی نیازمندی‌های اساسی برنامه‌های وب خود را بررسی کنید:
آگاهی از حملات امنیتی:
اطمینان حاصل کنید که تیم توسعه‌ی شما با حملات رایج امنیتی مانند حملات نفوذ به SQL (SQL injection)، حملات XSS (Cross-Site Scripting)، حملات CSRF (Cross-Site Request Forgery) و حملات اعمال کد (Code Injection) آشنا است.
مدیریت حقوق دسترسی:
اطمینان حاصل کنید که دسترسی‌ها به مناطق محرمانه برنامه‌ی شما محدود و کنترل شده‌اند و کاربران فقط به آن‌چه که برای آن‌ها لازم است، دسترسی دارند.
انجام عملیات حساس در سمت کاربر:
هرگز عملیات‌های حساس مانند تغییر رمز عبور را از سمت کاربر انجام ندهید. تمام عملیات حساس باید از سمت سرور اجرا شوند.
امنیت ترافیک:
اطمینان حاصل کنید که ترافیک میان کاربر و سرور به کمک اتصالات امن (HTTPS) رمزنگاری شده است تا جلوی هرزنامه‌ها و هک‌های ممکن را بگیرد.
امنیت کدها:
تیم توسعه مطمئن شود که کدها از آسیب‌پذیری‌ها، نقاط ضعف امنیتی و حفره‌های امنیتی پاک و بازبینی شده‌اند.
تست نفوذ:
برای اطمینان از امنیت برنامه‌ی خود، تست نفوذ و آزمون‌های امنیتی را بر روی آن اجرا کنید تا به هرگونه آسیب‌پذیری محتمل پی ببرید.
حفاظت در برابر حملات DDoS:
مطمئن شوید که برنامه‌ی شما توانایی مقاومت در برابر حملات متعددی که باعث آسیب‌رسانی به عملکرد سیستم‌ها می‌شود (DDoS) را دارد.
آپدیت نرم‌افزارها:
اطمینان حاصل کنید که همیشه آخرین نسخه‌های نرم‌افزارها و کتابخانه‌ها را برای اجرای برنامه‌ی خود استفاده می‌کنید تا از حفره‌های امنیتی بهره‌برداری کنید.
راه‌اندازی لاگ‌ها:
لاگ‌های کاربردی و امنیتی را راه‌اندازی کنید تا به اطلاعات لازم برای پیگیری وضعیت وب‌سایت و مشکلات امنیتی دسترسی داشته باشید.
آموزش کارکنان:
تیم توسعه و کارکنان مرتبط باید با آسیب‌پذیری‌ها، تهدیدات امنیتی و شیوه‌های پیشگیری از حملات امنیتی