OWASP
Open Web Application Security Project | |
---|---|
![]() | |
Тип | неприбуткова організація організація 501(c)(3)_—_2004. |
Засновник | Mark Curphey[1] |
Засновано | 2001 |
Правовий статус | делаверська корпораціяd |
Сфера | безпека прикладних програм |
Галузь | комп'ютерна безпека |
Країна | ![]() |
Ключові особи | Karen Staley, Виконавчий директор; Kelly Santalucia, Членство та ділове співробітництво; Laura Grau, Менеджер подій; Tiffany Long, Менеджер по роботі зі спільнотою; Claudia Cassanovas, Координатор проєктів; Dawn Aitken, Програмний асистент |
Штат працівників | 8 осіб |
Вебсайт: owasp.org | |
![]() |
Відкритий проєкт з безпеки вебзастосунків (Open Web Application Security Project) (OWASP) — онлайн-спільнота, яка створює вільно доступні статті, методології, документацію, інструменти та технології в галузі безпеки вебзастосунків.[3][4]
Mark Curphey розпочав проєкт OWASP 9 вересня 2001.[5] Jeff Williams працював у OWASP Головою як волонтер з кінця 2003 до вересня 2011, після чого Matt Konda очолив Раду.[6]
OWASP Foundation, неприбуткова організація в США, заснована 2004 року, підтримує інфраструктуру та проєкти OWASP. З 2011, OWASP також зареєстрована як неприбуткова організація в Бельгії під назвою OWASP Europe VZW.[7]
Очільники OWASP несуть відповідальність за прийняття рішень про технічне керівництво, пріоритети проєктів, розклад та випуски.
Очільники OWASP можуть сприйматись як менеджмент Фонду OWASP.
У OWASP офіційно працює 3 особи, тому проєкт має надзвичайно низькі видатки, які покриваються конференціями, корпоративними спонсорами і рекламою. OWASP щорічно нагороджує грантами [Архівовано 26 березня 2018 у Wayback Machine.] корпоративних та індивідуальних членів [Архівовано 26 березня 2018 у Wayback Machine.] за розробку перспективних застосунків, які підвищують безпеку.
- Проєкт OWASP Топ Десять: Проєкт «Топ Десять», вперше опублікований у 2003 і регулярно оновлюється.[8] Він спрямований на підвищення обізнаності про безпеку застосунків шляхом виявлення деяких найбільш критичних ризиків для організацій.[9][10][11] Багато стандартів, книг, інструментів та організацій посилаються на OWASP Топ Десять, включно з MITRE[en], PCI DSS,[12] Defense Information Systems Agency[en] (DISA-STIG[en]), Федеральна торговельна комісія США,[13] та багато інших.
- Модель зрілості із забезпечення впевненості у програмному забезпеченні OWASP: Модель зрілості із забезпечення впевненості у програмному забезпеченні(Software Assurance Maturity Model, SAMM) — проєкт з метою допомогти організаціям сформулювати та імплементувати стратегію безпеки застосувань, яка адаптовану до конкретних бізнес-ризиків, з якими стикається організація.
- Настанова з розробки OWASP: Настанова з розробки представляє практичне керівництво та включає приклади коду мовами J2EE, ASP.NET, та PHP. Настанова з розробки охоплює широкий спектр питань безпеки на рівні застосувань, починаючи від SQL-ін'єкцій до сучасних проблем, таких як фішинг, використання кредитних карток, закріплення сеансів, підробки міжсайтових запитів, відповідність вимогам конфіденційності та приватності.
- Настанова з тестування OWASP [Архівовано 25 березня 2018 у Wayback Machine.]: Настанова з тестування включає найкращі практики з тестування на проникнення, які користувачі можуть впровадити у своїх організаціях, та настанову з низькорівневого тестування на проникнення, яка описує методики перевірки найбільш загальних проблем безпеки вебзастосувань та вебсервісів. Версія 4 була опублікована 4 вересня 2014 із внеском від більш ніж 60 осіб.[14]
- Настанова з огляду коду OWASP: настанова з огляду коду має номер поточної версії 1.1 і є другою найбільш продаваною книгою OWASP у 2008.
- Стандарт перевірки безпеки застосувань OWASP [Архівовано 15 лютого 2018 у Wayback Machine.] (Application Security Verification Standard, ASVS): стандарт перевірки безпеки на рівні застосувань.[15]
- Проєкт критеріїв оцінки шлюзу безпеки XML OWASP (XML Security Gateway, XSG) .[16]
- Настанова OWASP з реагування на топ десять інцидентів. Цей проєкт надає проактивний підхід до планування реагування на інциденти. Документ призначений для аудиторії, що включає власників бізнесу, інженерів з безпеки, розробників, аудиторів, керівників програм, правоохоронців та юристів.[17]
- OWASP ZAP Project: The Zed Attack Proxy (ZAP) [Архівовано 29 березня 2018 у Wayback Machine.] являє собою простий у використанні інтегрований інструмент тестування на проникнення для пошуку вразливостей у вебзастосуваннях. Він призначений для використання людьми з різноманітним досвідом безпеки, включаючи розробників та функціональних тестерів, які є новачками в тестуванні на проникнення.
- Webgoat: навмисно небезпечний вебдодаток, створений OWASP для навчання для безпечним методам програмування.[1] Після завантаження програма поставляється з підручником та набором різних уроків, які вказують учням, як експлуатувати вразливості, з метою навчити їх писати безпечний код.
- OWASP AppSec Pipeline: Проєкт DevOps Pipeline Project це місце для пошуку інформації, необхідної для збільшення швидкості та автоматизації програми безпеки застосувань. AppSec використовують принципи DevOps і Lean і застосовують це до програми безпеки безпеки застосувань.[18]
Організація OWASP отримала у 2014 нагороду SC Magazine.[4][19]
- ↑ а б в Huseby, Sverre (2004). Innocent Code: A Security Wake-Up Call for Web Programmers. Wiley. с. 203. ISBN 0470857447.
- _—_2004.
Many entities including the PCI Security Standards Council, National Institute of Standards and Technology (NIST), and the Federal Trade Commission (FTC) regularly reference the OWASP Top 10 as an integral guide for mitigating Web application vulnerabilities and meeting compliance initiatives.
{{cite web}}
: Обслуговування CS1: Сторінки з текстом «archived copy» як значення параметру title (посилання)
Editor's Choice [...] Winner: OWASP Foundation
- www.owasp.org — офіційний сайт «OWASP».
![]() |
Це незавершена стаття з інформаційної безпеки. Ви можете допомогти проєкту, виправивши або дописавши її. |