Table Of Content""PPrraaxxiiss--HHiigghhlliigghhttss"" aauuss ddeenn OOWWAASSPP TToopp 1100 BBSSII IITT--GGrruunnddsscchhuuttzzttaagg,, 1133..0066..22001133,, RReeggeennssbbuurrgg 11
© 2013 by sic[!]sec GmbH in Groebenzell, Germany. - For personal use only. - http://www.sicsec.de
BBSSII GGrruunnddsscchhuuttzzbbaauusstteeiinn
WWeebbaannwweenndduunnggeenn
AAbbssiicchheerruunngg vvoonn WWeebbaannwweenndduunnggeenn iinn ddeerr
PPrraaxxiiss -- HHiigghhlliigghhttss aauuss ddeenn OOWWAASSPP TToopp 1100
Ralf Reinhardt
13.06.2013, 13:30 Uhr
BSI IT-Grundschutztag
Tagungs- und Besucherzentrum
bayernhafen
Linzer Str. 8, 93055 Regensburg
""PPrraaxxiiss--HHiigghhlliigghhttss"" aauuss ddeenn OOWWAASSPP TToopp 1100 BBSSII IITT--GGrruunnddsscchhuuttzzttaagg,, 1133..0066..22001133,, RReeggeennssbbuurrgg 22
© 2013 by sic[!]sec GmbH in Groebenzell, Germany. - For personal use only. - http://www.sicsec.de
„„PPrraaxxiiss--HHiigghhlliigghhttss““ ddeerr OOWWAASSPP TToopp 1100
BSI Grundschutzbaustein Web-Anwendungen
Über OWASP
OWASP Top 10
Über sic[!]sec und Ralf Reinhardt
Wie "ticken" Web-Anwendungen?
Highlight A2: Cross-Site Scripting (XSS)
Highlight A1: Injection
Highlight A4: Unsichere direkte Objektreferenzen
Highlight A5: Cross-Site Request Forgery (CSRF)
""PPrraaxxiiss--HHiigghhlliigghhttss"" aauuss ddeenn OOWWAASSPP TToopp 1100 BBSSII IITT--GGrruunnddsscchhuuttzzttaagg,, 1133..0066..22001133,, RReeggeennssbbuurrgg 33
© 2013 by sic[!]sec GmbH in Groebenzell, Germany. - For personal use only. - http://www.sicsec.de
BBSSII GGrruunnddsscchhuuttzzbbaauusstteeiinn
WWeebb--AAnnwweenndduunnggeenn
„Um Webanwendung angemessen abzusichern, wurde ein neuer Baustein
für die IT-Grundschutz-Kataloge entwickelt, der vorab vom BSI zur
Kommentierung veröffentlicht wurde.
Daran teilgenommen hat unter anderem das Open Web Application
Security Project (OWASP). Diese unabhängige und offene
Expertengruppe hat sich zum Ziel gesetzt, Sicherheit in
(Web-)Anwendungen sichtbar zu machen und praxisnahe Lösungen
bereitzustellen.
«Die konsolidierte Version des Bausteines 'Webanwendungen' wird mit
der nächsten Ergänzungslieferung der IT-Grundschutz-Kataloge
erscheinen», informierte Isabel Münch, Referatsleiterin IT-Grundschutz
beim BSI. Vorab steht der Baustein auf den Webseiten des BSI als
Download zur Verfügung.“
Aus einer Pressemitteilung des BSI vom 17.10.2012 anlässlich der
Vorstellung des Bausteins auf dem 4. IT-Grundschutztag 2012 (it-sa)
""PPrraaxxiiss--HHiigghhlliigghhttss"" aauuss ddeenn OOWWAASSPP TToopp 1100 BBSSII IITT--GGrruunnddsscchhuuttzzttaagg,, 1133..0066..22001133,, RReeggeennssbbuurrgg 44
© 2013 by sic[!]sec GmbH in Groebenzell, Germany. - For personal use only. - http://www.sicsec.de
„„PPrraaxxiiss--HHiigghhlliigghhttss““ ddeerr OOWWAASSPP TToopp 1100
BSI Grundschutzbaustein Web-Anwendungen
Über OWASP
OWASP Top 10
Über sic[!]sec und Ralf Reinhardt
Wie "ticken" Web-Anwendungen?
Highlight A2: Cross-Site Scripting (XSS)
Highlight A1: Injection
Highlight A4: Unsichere direkte Objektreferenzen
Highlight A5: Cross-Site Request Forgery (CSRF)
""PPrraaxxiiss--HHiigghhlliigghhttss"" aauuss ddeenn OOWWAASSPP TToopp 1100 BBSSII IITT--GGrruunnddsscchhuuttzzttaagg,, 1133..0066..22001133,, RReeggeennssbbuurrgg 55
© 2013 by sic[!]sec GmbH in Groebenzell, Germany. - For personal use only. - http://www.sicsec.de
ÜÜbbeerr OOWWAASSPP ((II // IIII))
Open Web Application Security Project
●
,,not-for-profit worldwide charitable organisation
●
focused on improving the security of application
software"
ca. 160 Chapter in 80 Ländern
●
,,free and open to the public"
●
Struktur: Board, Chapter, „Stammtisch“, Mitglied
●
http://www.owasp.de/
●
https://www.owasp.org/
https://lists.owasp.org/mailman/listinfo/owasp-germany
""PPrraaxxiiss--HHiigghhlliigghhttss"" aauuss ddeenn OOWWAASSPP TToopp 1100 BBSSII IITT--GGrruunnddsscchhuuttzzttaagg,, 1133..0066..22001133,, RReeggeennssbbuurrgg 66
© 2013 by sic[!]sec GmbH in Groebenzell, Germany. - For personal use only. - http://www.sicsec.de
ÜÜbbeerr OOWWAASSPP ((IIII // IIII))
OWASP Projekte
●
PROTECT (guard)
●
DETECT (find)
●
LIFE CYCLE (add security related activities)
●
OWASP Konferenzen
●
OWASP Summit (global)
●
OWASP AppSec (kontinental)
●
OWASP Day(s) (national)
●
OWASP Chapter Meeting / Stammtisch (regional)
●
OWASP Mitgliedschaft (EUR 40,- p.a.)
●
""PPrraaxxiiss--HHiigghhlliigghhttss"" aauuss ddeenn OOWWAASSPP TToopp 1100 BBSSII IITT--GGrruunnddsscchhuuttzzttaagg,, 1133..0066..22001133,, RReeggeennssbbuurrgg 77
© 2013 by sic[!]sec GmbH in Groebenzell, Germany. - For personal use only. - http://www.sicsec.de
ÜÜbbeerr OOWWAASSPP,, aauussggeewwäähhllttee PPrroojjeekkttee
OWASP Top 10
●
OWASP Testing Guide
●
OWASP Code Review Guide
●
OWASP (Development) Guide
●
OWASP ASVS (Application S. Verification Standard)
●
OWASP OpenSAMM (Open S. Assurance MM)
●
OWASP ESAPI (Enterprise Security API)
●
OWASP Zed Attack Proxy
●
OWASP Web Goat
●
OWASP ModSecurity Core Rule Set
●
OWASP Top 10 für Entwickler
●
""PPrraaxxiiss--HHiigghhlliigghhttss"" aauuss ddeenn OOWWAASSPP TToopp 1100 BBSSII IITT--GGrruunnddsscchhuuttzzttaagg,, 1133..0066..22001133,, RReeggeennssbbuurrgg 88
© 2013 by sic[!]sec GmbH in Groebenzell, Germany. - For personal use only. - http://www.sicsec.de
„„PPrraaxxiiss--HHiigghhlliigghhttss““ ddeerr OOWWAASSPP TToopp 1100
BSI Grundschutzbaustein Web-Anwendungen
Über OWASP
OWASP Top 10
Über sic[!]sec und Ralf Reinhardt
Wie "ticken" Web-Anwendungen?
Highlight A2: Cross-Site Scripting (XSS)
Highlight A1: Injection
Highlight A4: Unsichere direkte Objektreferenzen
Highlight A5: Cross-Site Request Forgery (CSRF)
""PPrraaxxiiss--HHiigghhlliigghhttss"" aauuss ddeenn OOWWAASSPP TToopp 1100 BBSSII IITT--GGrruunnddsscchhuuttzzttaagg,, 1133..0066..22001133,, RReeggeennssbbuurrgg 99
© 2013 by sic[!]sec GmbH in Groebenzell, Germany. - For personal use only. - http://www.sicsec.de
OOWWAASSPP TToopp 1100
""PPrraaxxiiss--HHiigghhlliigghhttss"" aauuss ddeenn OOWWAASSPP TToopp 1100 BBSSII IITT--GGrruunnddsscchhuuttzzttaagg,, 1133..0066..22001133,, RReeggeennssbbuurrgg 1100
© 2013 by sic[!]sec GmbH in Groebenzell, Germany. - For personal use only. - http://www.sicsec.de
Description:"Praxis-Highlights" aus den OWASP Top 10 . OWASP Top 10. ○ OWASP Testing Guide OWASP OpenSAMM (Open S. Assurance MM).
