Відкритий всесвітній проєкт із безпеки застосунків (Open Worldwide Application Security Project, OWASP) — онлайн-спільнота, яка створює вільно доступні статті, методології, документацію, інструменти та технології в галузі безпеки вебзастосунків.
Історія Mark Curphey розпочав проєкт OWASP 9 вересня 2001. Jeff Williams працював у OWASP Головою як волонтер з кінця 2003 до вересня 2011, після чого Matt Konda очолив Раду.Board . OWASP. Retrieved on 2015-02-27.
Структура OWASP Foundation, неприбуткова організація в США, заснована 2004 року, підтримує інфраструктуру та проєкти OWASP. З 2011, OWASP також зареєстрована як неприбуткова організація в Бельгії під назвою OWASP Europe VZW.OWASP Europe , OWASP, 2016
Очільники OWASP несуть відповідальність за прийняття рішень про технічне керівництво, пріоритети проєктів, розклад та випуски.
Очільники OWASP можуть сприйматись як менеджмент Фонду OWASP.
У OWASP офіційно працює 3 особи, тому проєкт має надзвичайно низькі видатки, які покриваються конференціями, корпоративними спонсорами і рекламою. OWASP щорічно нагороджує грантами корпоративних та індивідуальних членів за розробку перспективних застосунків, які підвищують безпеку.
Публікації та ресурси Проєкт OWASP Топ Десять: Проєкт «Топ Десять», вперше опублікований у 2003 і регулярно оновлюється. Він спрямований на підвищення обізнаності про безпеку застосунків шляхом виявлення деяких найбільш критичних ризиків для організацій. Багато стандартів, книг, інструментів та організацій посилаються на OWASP Топ Десять, включно з , PCI DSS, Агентство оборонних інформаційних систем (), Федеральна торговельна комісія США, та багато інших. Модель зрілості із забезпечення впевненості у програмному забезпеченні OWASP: Модель зрілості із забезпечення впевненості у програмному забезпеченні(Software Assurance Maturity Model, SAMM) — проєкт з метою допомогти організаціям сформулювати та імплементувати стратегію безпеки застосувань, яка адаптовану до конкретних бізнес-ризиків, з якими стикається організація. Настанова з розробки OWASP: Настанова з розробки представляє практичне керівництво та включає приклади коду мовами J2EE, ASP.NET, та PHP. Настанова з розробки охоплює широкий спектр питань безпеки на рівні застосувань, починаючи від SQL-ін'єкцій до сучасних проблем, таких як фішинг, використання кредитних карток, закріплення сеансів, підробки міжсайтових запитів, відповідність вимогам конфіденційності та приватності. Настанова з тестування OWASP : Настанова з тестування включає найкращі практики з тестування на проникнення, які користувачі можуть впровадити у своїх організаціях, та настанову з низькорівневого тестування на проникнення, яка описує методики перевірки найбільш загальних проблем безпеки вебзастосувань та вебсервісів. Версія 4 була опублікована 4 вересня 2014 із внеском від більш ніж 60 осіб. Настанова з огляду коду OWASP: настанова з огляду коду має номер поточної версії 1.1 і є другою найбільш продаваною книгою OWASP у 2008. Стандарт перевірки безпеки застосувань OWASP (Application Security Verification Standard, ASVS): стандарт перевірки безпеки на рівні застосувань. Проєкт критеріїв оцінки шлюзу безпеки XML OWASP (XML Security Gateway, XSG) . Настанова OWASP з реагування на топ десять інцидентів. Цей проєкт надає проактивний підхід до планування реагування на інциденти. Документ призначений для аудиторії, що включає власників бізнесу, інженерів з безпеки, розробників, аудиторів, керівників програм, правоохоронців та юристів. OWASP ZAP Project: The Zed Attack Proxy (ZAP) являє собою простий у використанні інтегрований інструмент тестування на проникнення для пошуку вразливостей у вебзастосуваннях. Він призначений для використання людьми з різноманітним досвідом безпеки, включаючи розробників та функціональних тестерів, які є новачками в тестуванні на проникнення. Webgoat: навмисно небезпечний вебдодаток, створений OWASP для навчання для безпечним методам програмування. Після завантаження програма поставляється з підручником та набором різних уроків, які вказують учням, як експлуатувати вразливості, з метою навчити їх писати безпечний код. OWASP AppSec Pipeline: Проєкт DevOps Pipeline Project це місце для пошуку інформації, необхідної для збільшення швидкості та автоматизації програми безпеки застосувань. AppSec використовують принципи DevOps і Lean і застосовують це до програми безпеки безпеки застосувань.
Нагороди Організація OWASP отримала у 2014 нагороду SC Magazine.
Див. також Metasploit Project
Примітки
Посилання