Corso di formazione OWASP Top 10 2025

A01:2025 - Access Control Inadeguato
A02:2025 - Configurazione di Sicurezza Errata
A03:2025 - Mancanze nella Supply Chain del Software
A04:2025 - Mancanze Crittografiche
A05:2025 - Iniezione
A06:2025 - Design Insecure
A07:2025 - Mancanze nell'Autenticazione
A08:2025 - Mancanze nell'Integrità del Software o dei Dati
A09:2025 - Mancanze nella Registrazione e nell'Alerting di Sicurezza
A10:2025 - Gestione Inadeguata delle Condizioni Eccezionali

A01:2025 Access Control Inadeguato - Il controllo degli accessi applica policy affinché gli utenti non possano agire al di fuori delle proprie autorizzazioni previste. I fallimenti conducono tipicamente alla divulgazione non autorizzata di informazioni, alla modifica o distruzione di tutti i dati, o all'esecuzione di funzioni aziendali al di fuori dei limiti dell'utente.

A02:2025 Configurazione di Sicurezza Errata - La configurazione di sicurezza errata si verifica quando un sistema, un'applicazione o un servizio cloud è impostato in modo scorretto dal punto di vista della sicurezza, creando vulnerabilità.

A03:2025 Mancanze nella Supply Chain del Software - Le mancanze nella supply chain del software sono interruzioni o altre compromissioni nel processo di costruzione, distribuzione o aggiornamento del software. Sono spesso causate da vulnerabilità o modifiche malevole in codice di terze parti, strumenti o altre dipendenze su cui il sistema fa affidamento.

A04:2025 Mancanze Crittografiche - In generale, tutti i dati in transito dovrebbero essere crittografati al livello di trasporto (layer OSI 4). Ostacoli precedenti come le prestazioni della CPU e la gestione delle chiavi private/certificati sono ora gestiti da CPU con istruzioni progettate per accelerare la crittografia (es: supporto AES) e dalla semplificazione della gestione delle chiavi private e dei certificati tramite servizi come LetsEncrypt.org, con i principali vendor cloud che forniscono servizi di gestione dei certificati ancora più integrati per le loro piattaforme specifiche. Oltre a proteggere il livello di trasporto, è importante determinare quali dati necessitano di crittografia a riposo e quali dati necessitano di crittografia aggiuntiva in transito (al livello applicativo, layer OSI 7). Ad esempio, password, numeri di carta di credito, record sanitari, informazioni personali e segreti aziendali richiedono una protezione aggiuntiva, soprattutto se tali dati rientrano nelle leggi sulla privacy, ad esempio il Regolamento Generale sulla Protezione dei Dati (GDPR) dell'UE, o in normative come lo Standard PCI per la Sicurezza dei Dati (PCI DSS).

A05:2025 Iniezione - Una vulnerabilità di iniezione è un difetto del sistema che consente a un attaccante di inserire codice o comandi malevoli (come codice SQL o shell) nei campi di input di un programma, ingannando il sistema nell'esecuzione del codice o dei comandi come se facessero parte del sistema stesso. Questo può portare a conseguenze davvero disastrose.

A06:2025 Design Insecure - Il design insecure è una categoria ampia che rappresenta diverse debolezze, espresse come "progettazione di controlli mancanti o inefficaci". Il design insecure non è la fonte di tutte le altre categorie di rischio Top Ten. Nota che esiste una differenza tra design insecure e implementazione insecure. Distinguiamo tra difetti di progettazione e difetti di implementazione per una ragione: hanno cause profonde diverse, si verificano in momenti diversi del processo di sviluppo e hanno rimedi diversi. Un design sicuro può ancora avere difetti di implementazione che portano a vulnerabilità sfruttabili. Un design insecure non può essere corretto da un'implementazione perfetta, poiché i controlli di sicurezza necessari non sono mai stati creati per difendersi da attacchi specifici. Uno dei fattori che contribuisce al design insecure è la mancanza di profiling del rischio aziendale intrinseco nel software o nel sistema in sviluppo, e quindi il fallimento nel determinare quale livello di design di sicurezza sia richiesto.

A07:2025 Mancanze nell'Autenticazione - Quando un attaccante riesce a ingannare un sistema facendogli riconoscere un utente invalido o errato come legittimo, questa vulnerabilità è presente.

A08:2025 Mancanze nell'Integrità del Software o dei Dati - Le mancanze nell'integrità del software e dei dati riguardano codice e infrastrutture che non proteggono dal trattamento di codice o dati non validi o non fidati come se fossero affidabili e validi. Un esempio di ciò è quando un'applicazione fa affidamento su plugin, librerie o moduli da fonti non fidate, repository e content delivery network (CDN). Una pipeline CI/CD non sicura che non consuma e non fornisce controlli di integrità del software può introdurre la possibilità di accesso non autorizzato, codice non sicuro o malevolo, o compromissione del sistema. Un altro esempio è una CI/CD che preleva codice o artefatti da luoghi non fidati e/o non li verifica prima dell'uso (verificando la firma o un meccanismo simile). 

A09:2025 Mancanze nella Registrazione e nell'Alerting di Sicurezza  - Senza logging e monitoraggio, gli attacchi e le violazioni non possono essere rilevati e, senza alerting, è molto difficile rispondere rapidamente ed efficacemente durante un incidente di sicurezza. Insufficiente logging, monitoraggio continuo, rilevamento e alerting per avviare risposte attive si verifica in qualsiasi momento

A10:2025 Gestione Inadeguata delle Condizioni Eccezionali - La gestione inadeguata delle condizioni eccezionali nel software avviene quando i programmi non riescono a prevenire, rilevare e rispondere a situazioni insolite e imprevedibili, il che porta a crash, comportamenti inattesi e talvolta vulnerabilità. Questo può coinvolgere una o più delle seguenti 3 carenze; l'applicazione non previene il verificarsi di una situazione insolita, non identifica la situazione mentre si sta verificando e/o risponde male o per nulla alla situazione successivamente.

Discuteremo e presenteremo aspetti pratici di:

Access Control Inadeguato
- Esempi pratici di controlli degli accessi inadeguati
- Controlli degli accessi sicuri e best practice

Configurazione di Sicurezza Errata
- Esempi reali di configurazioni errate
- Passi per prevenire le configurazioni errate, inclusi strumenti di gestione delle configurazioni e automazione

Mancanze Crittografiche
- Analisi dettagliata delle mancanze crittografiche come algoritmi di crittografia deboli o gestione impropria delle chiavi
- Importanza di meccanismi crittografici robusti, protocolli sicuri (SSL/TLS) e esempi di crittografia moderna nella sicurezza web

Attacchi di Iniezione
- Scomposizione dettagliata dell'iniezione SQL, NoSQL, OS e LDAP
- Tecniche di mitigazione utilizzando prepared statement, query parametrizzate e escaping degli input

Design Insecure
- Esploreremo difetti di progettazione che possono portare a vulnerabilità, come la validazione impropria degli input
- Studieremo strategie per architetture sicure e principi di design sicuro

Mancanze nell'Autenticazione
- Problemi comuni di autenticazione
- Strategie di autenticazione sicure, come l'autenticazione multifattoriale e la corretta gestione delle sessioni

Mancanze nell'Integrità del Software e dei Dati
- Focus su problemi come aggiornamenti software non fidati e manipolazione dei dati
- Meccanismi di aggiornamento sicuri e controlli di integrità dei dati

Mancanze nella Registrazione e nel Monitoraggio di Sicurezza
- Importanza della registrazione di informazioni rilevanti per la sicurezza e del monitoraggio delle attività sospette
- Strumenti e pratiche per un logging appropriato e un monitoraggio in tempo reale per rilevare le violazioni precocemente