Application Security Testing: OWASP Top 10, SAST, DAST en SCA Training Cursus

A01:2025 – Broken Access Control

Toegangsbeheer handhaaft beleid zodat gebruikers niet buiten hun beoogde machtigingen kunnen handelen. Mislukkingen leiden typisch tot ongeautoriseerde openbaring, wijziging of vernietiging van gegevens, of het uitvoeren van zakelijke functies buiten de limieten van de gebruiker.

Praktische aspecten

• Praktische voorbeelden van kapotte toegangscontroles

• Veilige toegangscontroles en best practices

A02:2025 – Security Misconfiguration

Security misconfiguration treedt op wanneer een systeem, applicatie of cloudservice onjuist is geconfigureerd vanuit een beveiligingsperspectief, waardoor kwetsbaarheden ontstaan.

Praktische aspecten

• Real-life voorbeelden van misconfiguraties

• Stappen om misconfiguraties te voorkomen, inclusief configuratiebeheer en automatiseringstools

A03:2025 – Software Supply Chain Failures

Software supply chain failures zijn storingen of andere compromissen in het proces van het bouwen, distribueren of updaten van software. Ze worden vaak veroorzaakt door kwetsbaarheden of kwaadaardige wijzigingen in code, tools of andere afhankelijkheden van derden waar het systeem op steunt.

A04:2025 – Cryptographic Failures

In de regel moet alle gegevens in transitie worden versleuteld op het transportlaag (OSI-laag 4). Eerdere belemmeringen zoals CPU-prestaties en beheer van private sleutels/certificaten worden nu afgehandeld door CPUs met instructies die versleuteling versnellen (bijv. AES-ondersteuning) en vereenvoudigd beheer van private sleutels en certificaten via services zoals LetsEncrypt.org, terwijl grote cloudproviders nog geïntegreerdere certificatiebeheerdiensten bieden voor hun specifieke platforms.

Naast het beveiligen van de transportlaag is het belangrijk te bepalen welke gegevens ook versleuteld moeten zijn op de opslag (at rest) en welke gegevens extra versleuteling in transitie vereisen (op de applicatielaag, OSI-laag 7).

Bijvoorbeeld: wachtwoorden, creditcardnummers, gezondheidsgegevens, persoonlijke informatie en zakelijke geheimen vereisen extra bescherming, vooral als die gegevens onder privacywetten vallen, zoals de Algemene Verordening Gegevensbescherming (AVG/GDPR) van de EU, of regelgeving zoals de PCI Data Security Standard (PCI DSS).

Praktische aspecten

• Gedetailleerde analyse van cryptografische mislukkingen, zoals zwakke versleutelingstoepassingen of onjuist sleutelbeheer

• Belang van sterke cryptografische mechanismen, veilige protocollen (SSL/TLS) en voorbeelden van moderne cryptografie in webbeveiliging

A05:2025 – Injection

Een injectiekwetsbaarheid is een systeemfout die een aanvaller toelaat kwaadaardige code of commando's (zoals SQL- of shellcode) in te voegen in invoervelden van een programma, waardoor het systeem wordt geloodst de code of commando's uit te voeren alsof het een deel van het systeem is. Dit kan leiden tot zeer ernstige gevolgen.

Praktische aspecten

• Gedetailleerde uitwerking van SQL-, NoSQL-, OS- en LDAP-injectie

• Mitigatietechnieken met behulp van prepared statements, geparameteriseerde queries en escaping van invoer

A06:2025 – Insecure Design

Insecure design is een brede categorie die verschillende zwakke punten vertegenwoordigt, uitgedrukt als 'ontbrekend of ondoeltreffend ontwerp van controle'.

Insecure design is niet de bron van alle andere Top Ten risicocategorieën. Merk op dat er een verschil is tussen onveilig ontwerp en onveilige implementatie. We maken een onderscheid tussen ontwerpdefecten en implementatiefouten met een reden: ze hebben andere oorzaken, treden op in verschillende fasen van het ontwikkelingsproces en vereisen verschillende aanpakken voor oplossing.

Een veilig ontwerp kan nog steeds implementatiefouten bevatten die leiden tot kwetsbaarheden die kunnen worden uitgebuit. Een onveilig ontwerp kan niet worden gecorrigeerd door een perfecte implementatie, omdat de nodige beveiligingscontroles nooit zijn gecreëerd ter verdediging tegen specifieke aanvallen.

Eén van de factoren die bijdragen aan onveilig ontwerp is het ontbreken van business-riskprofilering inherent aan de software of het systeem dat wordt ontwikkeld, en daardoor het falen om te bepalen welk niveau van beveiligingsontwerp vereist is.

Praktische aspecten

• Wij verkennen ontwerpfouten die kunnen leiden tot kwetsbaarheden, zoals onjuiste invoervalidatie

• Wij bestuderen strategieën voor veilige architectuur en principes van veilig ontwerp

A07:2025 – Authentication Failures

Wanneer een aanvaller in staat is het systeem te laten erkennen dat een ongeldige of onjuiste gebruiker legitiem is, is deze kwetsbaarheid aanwezig.

Praktische aspecten

• Veelvoorkomende authenticatieproblemen

• Veilige authenticatiestrategieën, zoals multi-factor authenticatie en correcte sessiebeheersing

A08:2025 – Software or Data Integrity Failures

Mislukkingen in software- of data-integriteit hebben betrekking op code en infrastructuur die niet beschermt tegen ongeldige of onbetrouwbare code of gegevens die als vertrouwd en geldig worden behandeld.

Een voorbeeld hiervan is wanneer een applicatie steunt op plugins, bibliotheken of modules van onbetrouwbare bronnen, repositories en content delivery networks (CDNs).

Een onveilige CI/CD-pipeline zonder software-integriteitschecks kan het potentieel voor ongeautoriseerde toegang, onveilige of kwaadaardige code, of systeemcompromittering introduceren.

Een ander voorbeeld is een CI/CD die code of artefacten ophaalt van onbetrouwbare locaties en/of deze niet verifieert vóór gebruik (door de handtekening te controleren of een vergelijkbaar mechanisme).

Praktische aspecten

• Focus op problemen zoals onbetrouwbare softwareupdates en data-beschadiging

• Veilige update-mechanismen en data-integriteitschecks

A09:2025 – Security Logging and Alerting Failures

Zonder logging en monitoring kunnen aanvallen en inbreuken niet worden gedetecteerd, en zonder alerting is het zeer moeilijk snel en effectief te reageren tijdens een beveiligingsincident.

Onvoldoende logging, continue monitoring, detectie en alerting om actieve reacties te starten komt steeds voor.

Praktische aspecten

• Belang van het loggen van beveiligingsrelevante informatie en monitoring van verdachte activiteiten

• Tools en praktijken voor correct logging en real-time monitoring om inbreuken vroeg te detecteren

A10:2025 – Mishandling of Exceptional Conditions

Onhandige behandeling van uitzonderingen in software gebeurt wanneer programma's falen in het voorkomen, detecteren en reageren op ongebruikelijke en onvoorspelbare situaties, wat leidt tot crashes, onverwacht gedrag en soms kwetsbaarheden.

Dit kan een of meer van de volgende drie tekortkomingen omvatten:

• De applicatie voorkomt dat een ongebruikelijke situatie optreedt niet

• Hij identificeert de situatie niet terwijl ze plaatsvindt

• Hij reageert slecht of helemaal niet op de situatie nadien

SAST – Static Application Security Testing

1. Wat statische analyse is en wanneer deze in de SDLC moet worden uitgevoerd (shift left)

2. Typen van kwetsbaarheden die detecteerbaar zijn via SAST, kwetsbare code vs veilige code

3. Overzicht van SAST-tools (bijv. Semgrep, SonarQube, Checkmarx, afhankelijk van de klant stack)

4. Praktische oefening: voer een SAST-scan uit op een repository met doelbewust geïntroduceerde kwetsbaarheden, interpreteer de resultaten, triage fals positive's vs echte kwetsbaarheden

DAST – Dynamic Application Security Testing

1. Verschil tussen SAST en DAST, black box testing op de draaiende applicatie

2. De DAST-scanflow, crawling, fuzzing, responsanalyse

3. Overzicht van DAST-tools (bijv. OWASP ZAP, Burp Suite)

4. Praktische oefening: voer een DAST-scan uit op een kwetsbare testapplicatie (bijv. OWASP Juice Shop), identificeer en valideer de bevindingen

SCA – Software Composition Analysis

1. Risico van afhankelijkheden en bibliotheken van derden, geërfde kwetsbaarheden

2. SBOM, Software Bill of Materials, wat het is en waarom het belangrijk is

3. Overzicht van SCA-tools (bijv. Dependency Check, Snyk, GitHub Dependabot)

4. Praktische oefening: voer een SCA-scan uit op een echt project, identificeer kwetsbare afhankelijkheden en bouw een hersteloplossingsplan (bijwerken, patchen, mitigeren)