OWASP Top 10 2025 Khóa Học Đào Tạo

A01:2025 - Lỗi kiểm soát truy cập (Broken Access Control)
A02:2025 - Cấu hình bảo mật sai (Security Misconfiguration)
A03:2025 - Lỗi trong chuỗi cung ứng phần mềm (Software Supply Chain Failures)
A04:2025 - Lỗi mật mã (Cryptographic Failures)
A05:2025 - Lỗi tiêm nhiễm (Injection)
A06:2025 - Thiết kế không an toàn (Insecure Design)
A07:2025 - Lỗi xác thực (Authentication Failures)
A08:2025 - Lỗi toàn vẹn phần mềm hoặc dữ liệu (Software or Data Integrity Failures)
A09:2025 - Lỗi ghi nhật ký và cảnh báo bảo mật (Security Logging and Alerting Failures)
A10:2025 - Xử lý sai các điều kiện ngoại lệ (Mishandling of Exceptional Conditions)

A01:2025 Lỗi kiểm soát truy cập (Broken Access Control) - Kiểm soát truy cập thực thi chính sách nhằm đảm bảo người dùng không thể thực hiện các hành động vượt quá quyền hạn được quy định của họ. Các lỗ hổng thường dẫn đến việc tiết lộ thông tin trái phép, sửa đổi hoặc phá hủy toàn bộ dữ liệu, hoặc thực hiện các chức năng kinh doanh vượt quá giới hạn của người dùng.

A02:2025 Cấu hình bảo mật sai (Security Misconfiguration) - Cấu hình bảo mật sai xảy ra khi hệ thống, ứng dụng hoặc dịch vụ đám mây được thiết lập không đúng từ góc độ bảo mật, tạo ra các lỗ hổng.

A03:2025 Lỗi trong chuỗi cung ứng phần mềm (Software Supply Chain Failures) - Lỗi trong chuỗi cung ứng phần mềm là sự sụp đổ hoặc các sự xâm phạm khác trong quá trình xây dựng, phân phối hoặc cập nhật phần mềm. Chúng thường do các lỗ hổng hoặc các thay đổi ác ý trong mã nguồn bên thứ ba, công cụ hoặc các phụ thuộc khác mà hệ thống dựa vào.

A04:2025 Lỗi mật mã (Cryptographic Failures) - Nhìn chung, tất cả dữ liệu trong quá trình truyền tải nên được mã hóa ở lớp truyền tải (lớp OSI 4). Các rào cản trước đây như hiệu suất CPU và quản lý khóa bí mật/chứng từ giờ đã được xử lý nhờ các CPU có các lệnh được thiết kế để tăng tốc mã hóa (ví dụ: hỗ trợ AES) và việc quản lý khóa bí mật và chứng từ được đơn giản hóa bởi các dịch vụ như LetsEncrypt.org, cùng với các nhà cung cấp đám mây lớn cung cấp dịch vụ quản lý chứng từ tích hợp chặt chẽ hơn cho các nền tảng cụ thể của họ. Ngoài việc bảo mật lớp truyền tải, rất quan trọng phải xác định dữ liệu nào cần được mã hóa khi lưu trữ và dữ liệu nào cần được mã hóa bổ sung trong quá trình truyền tải (ở lớp ứng dụng, lớp OSI 7). Ví dụ, mật khẩu, số thẻ tín dụng, hồ sơ sức khỏe, thông tin cá nhân và bí mật kinh doanh cần được bảo vệ thêm, đặc biệt nếu dữ liệu đó chịu sự điều chỉnh của các luật về quyền riêng tư, ví dụ như Quy định Chung về Bảo vệ Dữ liệu của EU (GDPR), hoặc các quy định như Tiêu chuẩn Bảo mật Dữ liệu PCI (PCI DSS).

A05:2025 Lỗi tiêm nhiễm (Injection) - Lỗ hổng tiêm nhiễm là một khiếm khuyết hệ thống cho phép kẻ tấn công chèn mã độc hoặc lệnh (như mã SQL hoặc shell) vào các trường nhập liệu của chương trình, đánh lừa hệ thống thực thi mã hoặc lệnh như thể đó là một phần của hệ thống. Điều này có thể dẫn đến những hậu quả vô cùng nghiêm trọng.

A06:2025 Thiết kế không an toàn (Insecure Design) - Thiết kế không an toàn là một danh mục rộng bao gồm các điểm yếu khác nhau, được thể hiện dưới dạng "thiết kế kiểm soát bị thiếu hoặc không hiệu quả". Thiết kế không an toàn không phải là nguồn gốc của tất cả các danh mục rủi ro Top Ten khác. Lưu ý rằng có sự khác biệt giữa thiết kế không an toàn và triển khai không an toàn. Chúng tôi phân biệt giữa lỗi thiết kế và khiếm khuyết triển khai vì lý do nhất định: chúng có nguyên nhân gốc rễ khác nhau, xảy ra ở các thời điểm khác nhau trong quá trình phát triển và có các biện pháp khắc phục khác nhau. Một thiết kế an toàn vẫn có thể có các khiếm khuyết triển khai dẫn đến lỗ hổng có thể bị khai thác. Một thiết kế không an toàn không thể được sửa chữa bằng cách triển khai hoàn hảo vì các kiểm soát bảo mật cần thiết chưa bao giờ được tạo ra để phòng thủ trước các cuộc tấn công cụ thể. Một trong những yếu tố góp phần vào thiết kế không an toàn là sự thiếu vắng việc lập hồ sơ rủi ro kinh doanh nội tại trong phần mềm hoặc hệ thống đang được phát triển, và do đó, thất bại trong việc xác định mức độ thiết kế bảo mật cần thiết.

A07:2025 Lỗi xác thực (Authentication Failures) - Khi một kẻ tấn công có thể đánh lừa hệ thống để xác nhận một người dùng không hợp lệ hoặc sai là hợp lệ, lỗ hổng này sẽ tồn tại.

A08:2025 Lỗi toàn vẹn phần mềm hoặc dữ liệu (Software or Data Integrity Failures) - Lỗi toàn vẹn phần mềm và dữ liệu liên quan đến mã và cơ sở hạ tầng không bảo vệ chống lại việc mã hoặc dữ liệu không hợp lệ hoặc không tin cậy bị coi là tin cậy và hợp lệ. Một ví dụ về điều này là khi một ứng dụng phụ thuộc vào các plugin, thư viện hoặc module từ các nguồn không tin cậy, kho lưu trữ và các mạng phân phối nội dung (CDN). Một pipeline CI/CD không an toàn mà không tiêu thụ và cung cấp các kiểm tra toàn vẹn phần mềm có thể tạo ra nguy cơ truy cập trái phép, mã không an toàn hoặc ác ý, hoặc sự xâm phạm hệ thống. Một ví dụ khác là pipeline CI/CD kéo mã hoặc các artifact từ các vị trí không tin cậy và/hoặc không xác minh chúng trước khi sử dụng (bằng cách kiểm tra chữ ký hoặc cơ chế tương tự).

A09:2025 Lỗi ghi nhật ký & cảnh báo bảo mật (Security Logging & Alerting Failures) - Nếu không có ghi nhật ký và giám sát, các cuộc tấn công và sự cố xâm phạm không thể được phát hiện, và nếu không có cảnh báo, rất khó để phản ứng nhanh chóng và hiệu quả trong một sự cố bảo mật. Việc ghi nhật ký không đủ, giám sát liên tục, phát hiện và cảnh báo để khởi động các phản ứng chủ động xảy ra vào bất kỳ lúc nào

A10:2025 Xử lý sai các điều kiện ngoại lệ (Mishandling of Exceptional Conditions) - Việc xử lý sai các điều kiện ngoại lệ trong phần mềm xảy ra khi các chương trình không ngăn chặn, phát hiện và phản ứng với các tình huống bất thường và không thể đoán trước, dẫn đến sự cố (crash), hành vi bất ngờ và đôi khi là các lỗ hổng. Điều này có thể bao gồm một hoặc nhiều trong số 3 sự thất bại sau; ứng dụng không ngăn chặn một tình huống bất thường xảy ra, nó không nhận diện được tình huống khi nó đang xảy ra, và/hoặc nó phản ứng kém hoặc không phản ứng gì với tình huống đó sau đó.

Chúng ta sẽ thảo luận và trình bày các khía cạnh thực tiễn của:

Lỗi kiểm soát truy cập (Broken Access Control)
- Các ví dụ thực tế về lỗi kiểm soát truy cập
- Kiểm soát truy cập an toàn và các thực hành tốt nhất

Cấu hình bảo mật sai (Security Misconfiguration)
- Các ví dụ thực tế về cấu hình sai
- Các bước để ngăn chặn cấu hình sai, bao gồm công cụ quản lý cấu hình và tự động hóa

Lỗi mật mã (Cryptographic Failures)
- Phân tích chi tiết các lỗi mật mã như thuật toán mã hóa yếu hoặc quản lý khóa không phù hợp
- Sự quan trọng của các cơ chế mật mã mạnh, giao thức an toàn (SSL/TLS) và các ví dụ về mật mã hiện đại trong bảo mật web

Tấn công tiêm nhiễm (Injection Attacks)
- Phân tích chi tiết về tiêm nhiễm SQL, NoSQL, OS và LDAP
- Các kỹ thuật giảm thiểu bằng cách sử dụng các câu lệnh đã chuẩn bị, truy vấn có tham số và thoát chuỗi đầu vào

Thiết kế không an toàn (Insecure Design)
- Chúng ta sẽ khám phá các lỗi thiết kế có thể dẫn đến lỗ hổng, như xác minh đầu vào không phù hợp
- Chúng ta sẽ nghiên cứu các chiến lược cho kiến trúc an toàn và các nguyên tắc thiết kế an toàn

Lỗi xác thực (Authentication Failures)
- Các vấn đề xác thực phổ biến
- Các chiến lược xác thực an toàn, như xác thực đa nhân tử và xử lý phiên phù hợp

Lỗi toàn vẹn phần mềm và dữ liệu (Software and Data Integrity Failures)
- Tập trung vào các vấn đề như cập nhật phần mềm không tin cậy và can thiệp dữ liệu
- Các cơ chế cập nhật an toàn và kiểm tra toàn vẹn dữ liệu

Lỗi ghi nhật ký và giám sát bảo mật (Security Logging and Monitoring Failures)
- Sự quan trọng của việc ghi nhật ký thông tin liên quan đến bảo mật và giám sát các hoạt động đáng ngờ
- Các công cụ và thực hành cho việc ghi nhật ký phù hợp và giám sát thời gian thực để phát hiện xâm phạm sớm