OWASP Top Ten 2017 (es)

Detalles acerca de los factores de Riesgo

 Languages: en de [es]
Resumen de factores de Riesgo del Top 10
La siguiente tabla presenta un resumen del Top 10 y los factores de riesgo que hemos asignado a cada uno de ellos.
Estos factores fueron determinados basándose en las estadísticas disponibles y la experiencia del equipo del OWASP Top 10. Para entender estos riesgos en una aplicación en particular u organización, usted debe considerar sus propios agentes de amenaza e impactos de negocio específicos. Incluso las vulnerabilidades graves de software podrían no representar un riesgo serio si no hay agentes de amenaza en posición para ejecutar el ataque necesario, o el impacto al negocio es insignificante para los activos involucrados.

RIESGO Agente de amenaza Vector de ataque
(Explotabilidad)
 Debilidades de seguridad
(Prevalencia)
 Debilidades de seguridad
(Detectabilidad)
 Impacto
(Técnico)
 Impacto
(Negocio)
 Puntaje
A1:2017-Injection Específico
de la Apl.		 Fácil: 3 Común: 2 Fácil: 3 Grave: 3 Específico
de la Apl.		 8.0
A2:2017-Broken Authentication Específico
de la Apl.		 Fácil: 3 Común: 2 Promedio: 2 Grave: 3 Específico
de la Apl.		 7.0
A3:2017-Sensitive Data Exposure Específico
de la Apl.		 Promedio: 2 Difundido: 3 Promedio: 2 Grave: 3 Específico
de la Apl.		 7.0
A4:2017-XML External Entities (XXE) Específico
de la Apl.		 Promedio: 2 Común: 2 Fácil: 3 Grave: 3 Específico
de la Apl.		 7.0
A5:2017-Broken Access Control Específico
de la Apl.		 Promedio: 2 Común: 2 Promedio: 2 Grave: 3 Específico
de la Apl.		 6.0
A6:2017-Security Misconfiguration Específico
de la Apl.		 Fácil: 3 Difundido: 3 Fácil: 3 Moderado: 2 Específico
de la Apl.		 6.0
A7:2017-Cross-Site Scripting (XSS) Específico
de la Apl.		 Fácil: 3 Difundido: 3 Fácil: 3 Moderado: 2 Específico
de la Apl.		 6.0
A8:2017-Insecure Deserialization Específico
de la Apl.		 Difícil: 1 Común: 2 Promedio: 2 Grave: 3 Específico
de la Apl.		 5.0
A9:2017-Using Components with Known Vulnerabilities Específico
de la Apl.		 Promedio: 2 Difundido: 3 Promedio: 2 Moderado: 2 Específico
de la Apl.		 4.7
A10:2017-Insufficient Logging & Monitoring Específico
de la Apl.		 Promedio: 2 Difundido: 3 Difícil: 1 Moderado: 2 Específico
de la Apl.		 4.0

Project Sponsorship
El Top 10 cubre una gran cantidad de terreno, pero existen otros riesgos que debería considerar y evaluar en su organización. Algunos de éstos se han publicado en versiones previas del Top 10, y otros no, incluyendo nuevas técnicas de ataque que son identificadas constantemente. Estos son algunos otros riesgos importantes de seguridad en aplicaciones que también debería considerar, ordenados según su identificador de CWE:
* CWE-352: Cross-Site Request Forgery (CSRF)
* CWE-400: Uncontrolled Resource Consumption (‘Resource Exhaustion’, ‘AppDoS’)
* CWE-434: Unrestricted Upload of File with Dangerous Type
* CWE-451: User Interface (UI) Misrepresentation of Critical Information (Clickjacking and others)
* CWE-601: Unvalidated Forward and Redirects
* CWE-799: Improper Control of Interaction Frequency (Anti-Automation)
* CWE-829: Inclusion of Functionality from Untrusted Control Sphere (3rd Party Content)
* CWE-918: Server-Side Request Forgery (SSRF)