Kaj je OWASP Top 10?

Question

Accepted Answer

**OWASP Top 10** je široko priznana seznam **najbolj kritičnih varnostnih tveganj spletnih aplikacij**, ki ga objavlja OWASP (Open Worldwide Application Security Project). Gre za bistven vir za razumevanje skupnih ranljivosti, ki se jih morajo razvojni inženirji braniti.

## Kaj je OWASP Top 10

```text
A regularly-updated list of the TOP 10 most critical web app security risks:
  → based on real-world data and expert consensus
  → a standard AWARENESS document — the baseline of vulnerabilities to know and prevent
  → not exhaustive, but the most important/common risks to address first
```

## Kategorije (nedavni OWASP Top 10)

```text
1. BROKEN ACCESS CONTROL → users accessing what they shouldn't (authorization flaws)
2. CRYPTOGRAPHIC FAILURES → weak/missing encryption; exposed sensitive data
3. INJECTION → SQL injection, command injection (untrusted input as code/queries)
4. INSECURE DESIGN → security flaws in the design itself
5. SECURITY MISCONFIGURATION → insecure defaults, exposed settings, verbose errors
6. VULNERABLE/OUTDATED COMPONENTS → using libraries with known vulnerabilities
7. AUTHENTICATION FAILURES → weak auth, broken session management
8. DATA INTEGRITY FAILURES → insecure deserialization, untrusted updates (supply chain)
9. LOGGING/MONITORING FAILURES → can't detect/respond to attacks
10. SSRF → server-side request forgery (server tricked into making requests)
```

## Zakaj je dragocen

```text
✓ A prioritized CHECKLIST of what to defend against (the most common/critical risks)
✓ Common LANGUAGE for discussing app security; widely referenced in industry
✓ Educational — learn the major vulnerability classes and how to prevent them
→ A foundational reference for any developer/team building secure web apps.
```

## Zakaj je pomemben

Razumevanje OWASP Top 10 je dragoceno, ker je **standardna referenca za najbolj kritična varnostna tveganja spletnih aplikacij**, ki zagotavlja bistveno zavedanje ranljivosti, ki se jih morajo razvojni inženirji braniti, zato predstavlja temeljno varnostno znanje.

OWASP Top 10 — redna posodobljena, podatki-voden seznam glavnih varnostnih tveganj spletnih aplikacij — služi kot **izhodišče ranljivosti, ki bi jo moral poznati vsak razvojni inženir, ki gradi spletne aplikacije**, predstavlja pa najbolj pogosta in kritična tveganja, ki jih je treba nasloviti.

Razumevanje **kategorij** — vključno z **okrnjenim nadzorom dostopa** (napake pri avtorizaciji), **vbrizgavanjem** (SQL injection in podobno, klasična in nevarna kategorija), **kriptografskimi napaka** (šibko šifriranje, izpostavljeni podatki), **varnostno napačno konfiguracijo**, **ranljivimi/zastareli komponentami** (uporaba knjižnic z znanimi ranljivostmi), **napaka pri avtentifikaciji** in ostalimi — daje razvojnim inženirjem zavedanje glavnih kategorij ranljivosti in kaj se jih braniti.

To zavedanje je temeljno, ker ne morete preprečiti ranljivosti, ki je ne poznate, in OWASP Top 10 pokriva tiste, ki so najbolj verjetno povzročile prave kršitve.

Razumevanje **zakaj je dragocen** — kot prioritetizirani seznam tega, pred čimer se braniti, skupni jezik za razpravo o varnosti in izobraževalni vir za učenje kategorij ranljivosti — odraža njegovo vlogo kot temeljne industrijske reference.

OWASP Top 10 je široko omenjran v varnostnih razpravah, usposabljanju in standardih, zato je seznanjenost z njim temeljno pričakovanje za varnostno sveščne razvojne inženirje.

Ker varnost spletnih aplikacij zahteva obrambo pred pogostimi, kritičnimi ranljivostmi in je OWASP Top 10 standardna referenca, ki jih identificira (okrnjen nadzor dostopa, vbrizgavanje, kriptografske napake itd.), in ker razumevanje tega zagotavlja bistveno zavedanje kaj preprečiti, je razumevanje OWASP Top 10 dragoceno, temeljno varnostno znanje — standardni vir zavedanja za varnostna tveganja spletnih aplikacij, bistveno za poznavanje glavnih ranljivosti, pred katerimi se braniti, in izhodišče za vsak razvojni inženir ali ekipo, ki gradi varne aplikacije, pogosto omenjeno v industriji in varnostnem izobraževanju.