2010 02 09 Ms Tech Days Owasp Asvs Sgi V01

Notes de l'éditeur

• #14: You have a number of options when verifying the security of an application. The standard gives you the flexibility to use any and all of these options in your verification effort.
• #16: Niveau 1 (“Vérification automatique”) est généralement approprié pour des applications ou un usage convenable des contrôles de sécurité est requis. Les menaces de sécurité9 seront généralement des virus, worms, (les cibles sont choisies au hasard à travers de larges scan, et impactent les plus vulnérables). La portée des vérifications inclus le code qui a été développé ou modifié durant la création de l'application. Dans le niveau 1, la vérification implique l'utilisation d'outils automatisés ainsi que des vérifications manuelles. Ce niveau assure seulement une protection de sécurité partielle de l'application. La vérification manuelle n'est pas prévue pour rendre la sécurité de l'application complète, seulement pour vérifier que chaque découverte automatique est correcte et pas simplement une fausse alerte (false positive). Il y a deux éléments constituants le niveau 1. Le niveau 1A utilise des outils pour scanner automatiquement les vulnérabilités de l'application (analyse dynamique), et le niveau 1B utilise des outils pour scanner automatiquement le code source (analyse statique). Les efforts de vérification peuvent utiliser chacun de ces composants individuellement, ou utiliser une combinaison de ces approches pour obtenir le niveau 1 complet. La structure de ces niveaux est décrite dans la figure ci-dessous. Tandis qu'il peut déterminé qu'une application accède au niveau 1A ou 1B, aucun de ces niveaux pris séparément ne procure le même niveau de rigueur et de protection qu'une application qui accède au niveau 1. Une application qui est de niveau 1, doit être de niveaux d'exigences 1A et 1B. Whichever tool or tools you use must provide coverage against all the requirements in the standard. Covering a requirement simply means that the tool provides some benefit in that area. Not that it necessarily finds ALL flaws in that area. For example, if the tool can find some XSS flaws, that it is considered to cover that area at Level 1, even though it can’t find all XSS flaws in a particular application. If there is a level 1 (A or B) requirement that your selected tool suite doesn’t cover, then you can augment your verification process with manual verification to address that particular requirement.
• #17: Whichever tool or tools you use must provide coverage against all the requirements in the standard. Covering a requirement simply means that the tool provides some benefit in that area. Not that it necessarily finds ALL flaws in that area. For example, if the tool can find some XSS flaws, that it is considered to cover that area at Level 1, even though it can’t find all XSS flaws in a particular application. If there is a level 1 (A or B) requirement that your selected tool suite doesn’t cover, then you can augment your verification process with manual verification to address that particular requirement.
• #18: Note: Clearly a level 1 review can’t do any more than what the tools can do, since it’s a tool based review. Given that tools don’t yet provide a huge amount of coverage of the application security problem space, level 1 reviews are understandable limited in their scope. But they are just the first level in the model. Higher levels provide better coverage and more rigor, as defined by the standard itself.
• #19: Le niveau 2 (« Vérification manuelle ») est approprié pour des applications qui gèrent des transactions personnelles, des transactions B2B (business to business), des informations de cartes de crédit, ou des informations personnelles. Le niveau 2 procure une assurance que les vérifications des contrôles de sécurité se font conformément aux spécifications et qu'ils fonctionnent correctement. Les menaces seront les virus, vers, et des opportunistes simple qui utilisent des outils d'attaque préconçus. L'étendue des vérifications inclut tous les codes développés ou modifiés pour l'application, aussi bien que l'examen des tierces parties qui procure des fonctionnalités de sécurité à l'application. Il y a deux composants pour le niveau 2, comme décrit sur la figure ci-dessous. Si une application peut accéder au niveau 2A ou 2B, aucun de ces niveaux seul n'apporte la même rigueur ni le même niveau de protection que le niveau 2.D'autre part, alors que le niveau 2 englobe le niveau 1, il n'y a pas d'exigences d'utilisation d'outils automatisés pour accéder au niveau 2. Au lieu de cela, le vérificateur a l'option d'utiliser seulement des techniques manuelles pour répondre aux exigences du niveau 2. Si des outils automatisés sont disponibles, le vérificateur peut les utiliser pour appuyer son analyse. Cependant, répondre à une exigence de niveau 1, ne signifie pas systématiquement que l'on répond à la même exigence de niveau 2, et ce parce que les outils automatiques n'apportent pas de preuves suffisamment solides, pour affirmer que l'exigence de niveau 2 a été satisfaite.
• #20: Manual verification can also leverage the use of automated tools, but it doesn’t have to. Manual verification WILL involve the use of tools. It will be crazy not to. However, the level of ‘automation’ of such tools is up to the verifier. It could range from the simple use of an IDE, to automated commercial tools like what might be used at level 1, to custom code review tools that have custom rules built and maintained by the verifier that are not commercially available.
• #21: Level 3, is Level 2 plus more coverage and more depth of analysis. It also include high level threat modeling and design verification, to verify that all the critical assets are protected by the proper set of security controls.
• #37: // Create a new cookie HttpCookie cookie = new HttpCookie("MyKey", "MyValue"); // Set the expirtation on the cookie cookie.Expires = DateTime.Now.AddHours(1.0);// Enable transmission of the cookie over HTTPS cookie.Secure = true;// Enable HttpOnly cookie.HttpOnly = true;// Add the cookie to the Response stream Response.Cookies.Add(cookie);