Upgrade to Pro — share decks privately, control downloads, hide ads and more …

OWASP + DevOps - Nowe narzędzia do zabezpieczan...

OWASP + DevOps - Nowe narzędzia do zabezpieczania aplikacji - Mateusz Olejarka

DevOps + OWASP
12/03/2015

Tech Space guests

March 12, 2015
Tweet

More Decks by Tech Space guests

Other Decks in Technology

Transcript

  1. Agenda • Co to OWASP? • Co ma dla mnie

    (dla Was) ciekawego? • Narzędzia • Q&A
  2. Disclaimer • To tylko przegląd narzędzi • Nie, nie korzystam

    sam • Uważam, że warto przynajmniej rzucić na nie tak zwanym okiem
  3. OWASP Dependency Check • Weryfikacja podatności w bibliotekach • Problem:

    OWASP Top 10 2013 A9 Using Components with Known Vulnerabilities • Status: FLAGSHIP • Korzysta z NIST National Vulnerability Database • Produkuje raport
  4. OWASP Dependency Check • Wspierane technologie: • Użycie: – Command

    line – Ant - zadanie – Jenkins plugin – Maven plugin
  5. • Aplikacja WWW • Status: LAB (v1.0.0 15.02.2015) • Korzysta

    z OWASP Dependency Check • Możliwości: – Zarządzanie listą aplikacji wraz z wykorzystywanymi komponentami – Dashboard 
  6. OWASP ESAPI • Enterprise Security API • Status: ? •

    Wspierane technologie*: • Wersje: – v 2.0 (10.2013 release) – v 3.0 (10.2014 last commit)
  7. OWASP ESAPI Naming conventions such as this are not part

    of ESAPI but are good practice Step Step 1 2 $clean = array(); //this is local in scope $clean_sql = array(); //this is local in scope $clean['id'] = ESAPI::getValidator()->getValidInput( ... ); $clean_sql['id'] = ESAPI::getEncoder()->encodeForSQL( new MySQLCodec(), $clean['id'] ); This is also an ESAPI control
  8. OWASP AppSensor • Framework pozwalający na wbudowanie w aplikację mechanizmów

    wykrywania i obsługi incydentów • Status: ? (v2.0, last commit 26.02.2015) • Oferuje: – Wiedzę jak się bronić – Referencyjną implementację
  9. OWASP Zed Attack Proxy • HTTP proxy++ • Status: FLAGSHIP

    • Możliwości: – Skaner automatyczny • Pasywny • Aktywny – API – Możliwość skryptowania
  10. OWASP Zed Attack Proxy • HTTP proxy++ • Status: FLAGSHIP

    • Możliwości: – Skaner automatyczny • Pasywny • Aktywny – API – Możliwość skryptowania Application Errors Cache Control Content Type Missing Cookie HTTP Only Cookie Secure Flag Cross Domain Script Inclusion Header XSS Protection Mixed Content Password Autocomplete Private Address Disclosure Session Id in URL X-Content-Type-Options X-Frame-Option
  11. OWASP Zed Attack Proxy • HTTP proxy++ • Status: FLAGSHIP

    • Możliwości: – Skaner automatyczny • Pasywny • Aktywny – API – Możliwość skryptowania Code Injection Command Injection Client Browser Cache Cross Site Scripting (reflected) Cross Site Scripting (persistent) Directory Browsing External Redirect CRLF Injection Parameter Tampering Path Traversal Remote File Include Server Side Include SQL Injection
  12. OWASP Zed Attack Proxy • Użycie (API): – Ant -

    zadanie – Maven plugin – Python, Node.js – …
  13. O-Saft • Weryfikacja (aktywna) konfiguracji SSL/TLS • Problem: OWASP Top

    10 2013 A6 Sensitive Data Exposure • Status: LAB • Użycie: command line
  14. Materiały • https://www.owasp.org/index.php/Category:OWASP_Project • https://www.owasp.org/index.php/OWASP_Dependency_Check • https://www.owasp.org/index.php/OWASP_Dependency_Track_Project • https://www.owasp.org/index.php/Category:OWASP_Enterprise_Security_API •

    https://github.com/ESAPI • https://www.owasp.org/index.php/OWASP_AppSensor_Project • https://github.com/jtmelton/appsensor • https://www.owasp.org/index.php/OWASP_Zed_Attack_Proxy_Project • https://www.owasp.org/index.php/O-Saft