Web应用安全评估标准.PDFVIP

Web应用安全评估标准 OWASP ASVS 郭振新 . cn 自我介绍 • OWASP ProActive Controls中文项目组成员 • 径点科技——高级研发工程师 • 一个懂安全会渗透的程序员 截止时间：2019年6月4 日 径点科技（AvePoint, Inc.） • 微软金牌合作伙伴。 • 全球26个分公司。 • 产品：全球16000多家企业客户。其中包括 众多世界五百强企业。 • 项目：新加坡中央公积金局，新加坡财政 部，新加坡金融管理局，新加坡社会及家 庭发展部，新加坡共和理工学院，新加坡 樟宜机场，新跃社科大学等等 OWASP ASVS OWASP ASVS vs OWASP TOP 10 OWASP ASVS vs OWASP TOP 10 应用安全验证标准 + 3 高级 ASVS为1级及以上验证标 准定义了详细的验证要 求；而0级验证标准是灵 2 标准级 活的、可定制的。 1 取巧级 0 粗略级 应用安全验证标准第1等级 • 如果应用程序充分防范《OWASP Top 10》 和其他类似清单中包含的安全漏洞，它就 实现了ASVS 1级（或取巧级） 1 取巧级 应用安全验证标准第2等级 • 如果应用程序能够充分抵御当前与软件相 关的大部分风险，那么应用程序就实现了 ASVS 2级（或标准级）。 2 标准级 应用安全验证标准第3等级 • 如果应用程序充分防范高级的安全漏洞， 并且还展示了良好的安全设计原则，它就 达到了ASVS 3级验证标准。 • 通常保留给需要大量安全验证的应用程序， 例如那些可能在军事、健康和安全、关键 基础设施等领域中的应用程序。 3 高级 应用安全验证标准 行业 威胁概要 1级建议 2级建议 3级建议 包含敏感信息的 尽管这一阶段将经历取巧类型的 应用程序（例如： 攻击者的尝试，但它通常被认为 信用卡号码、个 是一个高价值的攻击目标，攻击 人信息）可以以