YouTube Video Spotlight: OWASP Top 10:2025 — Što se promijenilo i zašto je važno

Službeni 45-minutni video OWASP Fundacije „OWASP Top 10 Annoucement” koristan je uvod u trenutni OWASP Top 10:2025. Tanya Janca objašnjava što se promijenilo i zašto ovaj popis treba utjecati na svakodnevne inženjerske odluke.

Ažuriranje se jasno odražava na praktične sigurnosne osnove. A01 Kontrola pristupa zadržava prvo mjesto i sada apsorbira bivšu SSRF kategoriju, podsjećajući timove da granice autorizacije obuhvaćaju više od vidljivih prijava. A02 Neispravna sigurnosna konfiguracija prešla je na drugo mjesto, signal za timove koji upravljaju postavkama u oblaku, zaglavljima, dozvolama i zadanim postavkama deploya. Nova A03 Neuspjeh u lancu opskrbe softverom proširuje fokus s ranjivih paketa na ovisnosti, sustave gradnje i distribuciju softvera. A10 Pogrešno rukovanje iznimnim situacijama daje neodgovornom rukovanju pogreškama i ponašanju otvaranja pri neuspjehu specifičnu poziciju.

Za projekt, počnite s revizijama autorizacije na razini resursa, konfiguracijom kao kodom i vidljivim porijeklom ovisnosti i gradnje. Tretirajte autentifikaciju, kriptografiju, zaštitu od injekcija i logiranje kao ponavljajući inženjerski posao. Popis je alat prioritetizacije: pomaže timovima da postave bolja pitanja prije nego odabiru dublje kontrole poput OWASP ASVS i Cheat Sheets.

Rangiranje treba i kontekst. OWASP opisuje ovo izdanje kao vođeno podacima, a ne strogo statističko: osam kategorija došlo je iz doprinosa podataka, dok su dvije unaprijeđene kroz anketu zajednice. Istraživanje je analiziralo 589 CWE-a i približno 2,8 milijuna aplikacija. Top 10 nije kontrolni popis niti potpun model prijetnji. Niža pozicija ne znači da je rizik bezopasan, a izostavljeni rizik automatski nije irelevantan.

Format predavanja ide brzo i pretpostavlja određeni sigurnosni rječnik, pa ga uparite s OWASP-ovim 2025 uvodom. Za pregled zašto su se sigurnosni prioriteti weba promijenili, ovaj video je dobro uloženo vrijeme. Pogledajte video.