Глоссарий по безопасности

Что такое OWASP Top 10?

OWASP Top 10 публикует Open Worldwide Application Security Project. Это регулярно обновляемый список самых критичных рисков безопасности веб-приложений, который формирует сообщество. Для отрасли он служит общей точкой отсчёта при разговоре о рисках приложений, но это документ для повышения осведомлённости, а не чек-лист для тестирования.

Что это такое (и чем не является)

Top 10 повышает осведомлённость о категориях риска, которые чаще всего и серьёзнее всего затрагивают веб-приложения, чтобы команды и заинтересованные стороны разделяли общий словарь. Это намеренно не полный стандарт и не план тестирования: для систематического покрытия вы используете OWASP Web Security Testing Guide (WSTG) для тест-кейсов и OWASP Application Security Verification Standard (ASVS) для требований на уровне средств контроля. Top 10 формирует рамки риска; WSTG и ASVS управляют фактическим тестированием.

Текущая редакция: 2025

Текущая версия называется OWASP Top 10 2025. Если вы всё ещё видите ссылки на редакцию 2021 года, они устарели. Категории 2025: A01 Broken Access Control, A02 Security Misconfiguration, A03 Software Supply Chain Failures, A04 Cryptographic Failures, A05 Injection, A06 Insecure Design, A07 Authentication Failures, A08 Software or Data Integrity Failures, A09 Security Logging and Alerting Failures и A10 Mishandling of Exceptional Conditions.

Что изменилось в 2025

Broken Access Control по-прежнему на первом месте: это стабильно самый распространённый серьёзный веб-риск, поэтому тестирование с аутентификацией в нескольких ролях так важно. Среди заметных изменений: Security Misconfiguration поднялась до A02, новая категория Software Supply Chain Failures (A03) расширяет прежнюю тему «уязвимых компонентов», а новая A10 охватывает неправильную обработку исключительных ситуаций. Категории меняются вместе с реальными данными и угрозами.

Как это используется в пентесте

При оценке веб-приложения Top 10 обычно используют, чтобы структурировать и донести находки: каждую проблему соотносят с категорией риска, понятной руководству. Глубину же дают тест-кейсы WSTG и проверка по ASVS. Есть и родственный OWASP API Security Top 10 (текущая редакция 2023 года) для API, и проект OWASP Mobile Application Security (MASVS/MASTG) для мобильных приложений, потому что у этих поверхностей свои риски.

Часто задаваемые вопросы

Это регулярно обновляемый, формируемый сообществом список наиболее критичных рисков безопасности веб-приложений, публикуемый OWASP. Это общая отраслевая точка отсчёта для риска приложений, но намеренно документ для повышения осведомлённости, а не полный стандарт или план тестирования.

Актуальна редакция 2025 года, ссылки на 2021 устарели. Broken Access Control остаётся на первом месте, Security Misconfiguration поднялась на позицию A02, и появились две новые категории: A03 Software Supply Chain Failures и A10 Mishandling of Exceptional Conditions.

Не напрямую. При оценке веб-приложения он обычно помогает структурировать и донести находки, соотнося каждую проблему с категорией риска, а реальная глубина тестирования определяется OWASP Web Security Testing Guide и проверкой по ASVS. У API и мобильных приложений есть свои аналоги: OWASP API Security Top 10 и MASVS/MASTG.

Поговорите с реальным практиком.

Остался вопрос, на который эти страницы не ответили? Расскажите, что вы пытаетесь защитить, и мы укажем вам на правильный проект. Первая консультация бесплатна.