انتقل إلى المحتوى

كيف تستخدم إطار أعلى عشرة مخاطر من أواسب كنموذج معياري.

يعتبر مشروع (أواسب – أعلى عشرة مخاطر) وثيقة توّعوية، إلا أن ذلك لم يمنع المنظمات من استخدامه معيارًا فعليًا لأمن التطبيقات منذ بداية نشره في عام 2003. إذا كنت ترغب في استخدام (أواسب – أعلى عشرة مخاطر) بصفته معيار ترميز أو اختبار، فاعلم أنه يعتبر الحد الأدنى ونقطة البداية.

إحدى صعوبات استخدام (أواسب – أعلى عشرة مخاطر) كمعيار هو أننا نقوم بتوثيق مخاطر أمن التطبيقات، وهي ليست بالضرورة مشاكل قابلة للاختبار بسهولة. على سبيل المثال، A04: 2021- التصميم الغير آمن خارج نطاق معظم نماذج الاختبار. مثال آخر هو الاختبار المعمول به في الاستخدام والتسجيل الفعال والمراقبة لا يمكن أن يتم إلا من خلال المقابلات وطلب عيّنات من الاستجابات الفعالة للحوادث. يمكن لأداة تحليل الرموز البرمجية الثابتة البحث عن عدم وجود السجلات، ولكن قد يكون من المستحيل تحديد ما إذا كان طريقة العمل أو التحكم في الوصول يسجل الانتهاكات الأمنية الخطيرة. قد يتمكن مختبرين الاختراق فقط من تحديد طريقة الاستجابة للحوادث في بيئة العمل التجريبية، والتي نادرًا ما تتم مراقبتها بنفس الطريقة في بيئة العمل الفعلية.

فيما يلي توصياتنا لاستخدام (أواسب – أعلى عشرة مخاطر) عندما يكون ذلك متاحًا

حالة الاستخدام أواسب –أعلى عشرة 2021 معيار أواسب للتحقق من أمان التطبيق
التوعية نعم
التدريب المستوى الأول شامل
التصميم والبنية المعمارية إلى حدٍ ما نعم
معيار النص البرمجي الحد الأدنى نعم
مراجعة النص البرمجي الآمن الحد الأدنى نعم
قائمة التحقق من البرمجيات المشابهه الحد الأدنى نعم
اختبار الوحدة إلى حدٍ ما نعم
اختبار التكامل إلى حدٍ ما نعم
اختبار الاختراق الحد الأدنى نعم
دعم الادوات الحد الأدنى نعم
سلسة التوريد الامنة إلى حدٍ ما نعم

نشجّع أي شخص يرغب في اعتماد معيار الأمن للتطبيقات على استخدام معيار أواسب للتحقق من أمن التطبيقات (ASVS)، حيث أنه مُصمّم لكي يمكننا التحقق منه واختباره، ويمكن استخدامه في جميع أجزاء دورة حياة التطوير الآمن.

معيار التحقق من أمن التطبيقات (ASVS) هو الخيار الوحيد المقبول لمزودي الأدوات. لا يمكن للأدوات الكشف الشامل أو الاختبار أو الحماية ضد (أواسب – أعلى عشرة مخاطر) نظرًا لطبيعة العديد من مخاطر (أواسب –اعلى عشرة مخاطر )، مع الإشارة إلى A04: 2021-التصميم الغير آمن. لا تتفق أواسب مع أي ادعاءات بالتغطية الكاملة لـ (أواسب – أعلى عشرة مخاطر )، لأنها ببساطة غير صحيحة.