近几年，云、API等技术广泛应用，软件开发过程引入敏捷开发和DevOps实现开发运维工作自动化、版本快速迭代。迅速扩张的攻击面也伴随而来，攻击者总是能找到新的攻击面。在此背景下，时隔4年我们再次迎来OWASP Top 10更新。目前发布的release candidate版本，还处于公开征求意见阶段，预计今年7月或8月会正式发布。
OWASP Top 10历史变迁
自2003年发布首个版本以来，OWASP Top 10在14年间发布了6个版本（2003-2004-2007-2010-2013-2017RC1）。其中，历史上最重要一次更新当属2010版本，首次用风险管理看待web安全问题的根源以及管理，具体应用了安全风险评估方法得出Top排名。此后版本均延续了风险评估的方法。而在此之前，则是以漏洞统计方式形成Top排名。以2007为例，计算方法是根据 MITRE Vulnerability Trends for 2006，提取十大web应用安全问题。
从2003发展至2017，历年OWASP Top 10以及对应关系如下表所示。
OWASP Top 10 2017 RC1主要更新
2017 RC1这个版本最主要的更新在于新增两类问题，“A7-攻击防护不足”以及“A10-未受有效保护的API”。另外，考虑到不再有必要区分数据和功能层面的访问控制问题，对“2013-A4-不安全的直接对象引用”与“2013-A7-功能级访问控制缺失”进行了合并，形成了新的“2017-A4-失效的访问控制”。而2010版首次出现的“A10-未验证的重定向与转发”，在2013年保持在A10，发展至今，数据显示该问题并不如预期的普遍、严重性也逐渐降低，因此今年从Top 10中去掉了。
2017 RC1 与2013版本映射关系参见下图。相较2013版本，部分问题的风险因子也有一些变化。以XSS为例，漏洞的可检测性由2013的“容易”降低到“平均”，server端XSS漏洞通过代码分析或者测试会比较容易发现，而客户端的XSS漏洞则非常难以识别。
A7-攻击防护不足
针对这类问题的描述，在此引用OWASP Top 10中文翻译项目组的中文版译作（参见下图）。
需要防护的资产涉及应用以及API，面临的威胁有自动化以及手动攻击，解决措施包括有效的检测和响应能力、以及成熟的漏洞管理和应急响应机制。关于是否需要在今年的Top 10增加此类问题， 各方在Reddit 上展开了激烈的讨论，有人认为这不是脆弱性范畴的问题、而应该是主动防御范畴。也有人担忧会引起误导、夸大防护类产品对于应用安全的作用。
为便于理解，我们试图将web攻击拆解到三个层面，最基础的技术类攻击（如SQL注入、XSS等），这是传统web防护产品最为侧重的部分。我们发现近些年应用业务逻辑层面的攻击、业务欺诈层面的问题，也更为凸显、亟待解决。
回到2017-A7这类风险，从防护的角度，扫描防护、暴力破解防护、IP封禁、自学习白名单是需要考虑的必要措施，这是目前多数WAF产品或多或少已具备的能力。除了OWASP Top 10 2017 RC1中列举的攻击场景，在此延伸出当前危害较大的互联网恶意扫描场景。攻击者在互联网上部署有扫描节点，对全互联网资产进行持续扫描和监控，攻击者可能比企业客户自身掌握的资产和漏洞信息（如心脏滴血漏洞或者Apache Struts 2高危漏洞）更为全面。防护类产品通过应用IP情报，识别互联网上持续扫描的主机IP，进行检测和阻断，提供主动的防御。
另一方面，现实的攻击态势清楚告知我们，并不能过度依赖阻断和防御机制，提升检测和响应能力的必要性不言而喻。如OWASP Top 10中所建议的，基于用户行为的识别分析，“检测是否有合法用户不可能的输入，非典型输入、异常使用模式、重复请求等”，也给予我们较好的启迪。在此，从风险的视角，我们很容易理解并没有“银弹”存在，一个行之有效的方案，现实意义来说需要考虑提升安全分析能力。
关于应急响应和漏洞管理，我们乐于分享今年3月对Struts2-s2-045 (CVE-2017-5638)的应急响应闭环实战过程。漏洞披露后的12小时内，绿盟科技通过各种通道面向客户发送安全预警通告，配套检查建议以及WAF产品自定义策略配置建议，同时通过云端和本地技术资源帮助客户发现漏洞、识别受影响面。24小时内，产品紧急升级包正式发布，客户可以通过官网获取。在后续的一周内，web安全团队持续跟踪事件影响（受攻击网站行业分布、攻击源IP地理分布、攻击时间分布、每IP的攻击目标数等）、是否有绕过检测或者变种出现，并提供相应的防护能力更新。从云端的数据，我们看到不少客户已经在第一时间更新了WAF产品规则，应用“虚拟补丁”，并有效拦截漏洞利用攻击。
A10-未受有效保护的API
这类问题的分析和描述参见下图:
对于传统的API，我们习惯称为Web service，较新的称谓有REST接口、微服务等。使用API的好处在于快速开发、质量、可管理性、易集成等，但API和传统web应用一样易于遭受各类攻击。与传统应用漏洞一样，所有不同类型的注入问题、认证问题、访问控制问题、加密问题、配置问题等等都在API中存在。目前面临的主要挑战在于“API技术特性的广泛性和复杂性让自动化安全测试难以得到有效结果 ”。保护API的关键是全面理解威胁模型，了解所有可用的防御措施 ，确保安全分析和测试涵盖所有的API 。
从检测防护的角度，我们试图用下面这张图作为示例，可以看出通过支持JSON／XML或者更多自定义格式，以防止API的注入等攻击。目前WAF类产品通过web service防护特性具备这类能力。而权限和访问控制问题，则需要在开发阶段从设计、实现、测试等阶段重点考虑。
从来没有银弹！
OWASP Top 10项目对安全问题从威胁和脆弱性进行可能性分析，并结合技术和商业影响的分析，输出目前一致公认、最严重的十类web应用安全风险排名，并提出解决方案建议。Top 10是一个高度提炼的输出，现实的意义在于帮助和指导开发者、安全测试人员、web应用安全管理团队，提高风险意识。其对于安全厂商的产品能力提升也有指导意义。对于web安全风险管理以及企业安全建设，从来没有银弹，建议对照列表（需注意，OWASP历年来一直强调“不要停滞于OWASP Top 10”）结合自身环境、梳理影响自身应用安全的主要风险因素，并采取有重点的保护防范措施，在人员、流程以及技术层面进行提升。
上述对于本次更新浅尝辄止做了解读，希望能抛砖引玉，和业界朋友有更多探讨。
如果您需要了解更多内容，可以
加入QQ群：570982169
直接询问：010-68438880