OWASP Top 10 — מפת הסיכונים של אבטחת Web

אם יש מסמך אחד שכל לומד אבטחת web חייב להכיר — זו רשימת OWASP Top 10: עשרת הסיכונים הנפוצים והמסוכנים ביותר באפליקציות.

מה זה OWASP?

ארגון קהילתי ללא מטרות רווח שמפרסם ידע אבטחה חינמי. ה-Top 10 מתעדכן כל כמה שנים לפי נתוני אמת.

הקטגוריות (גרסת 2021, בקצרה)

1. Broken Access Control — גישה למה שאסור (כמו IDOR).
2. Cryptographic Failures — הצפנה חסרה/חלשה.
3. Injection — SQLi, פקודות, ועוד.
4. Insecure Design — בעיות תכנון יסודיות.
5. Security Misconfiguration — הגדרות ברירת מחדל פתוחות.
6. Vulnerable Components — ספריות ישנות/פגיעות.
7. Authentication Failures — התחברות חלשה.
8. Data Integrity Failures — אמון לא-מאומת (כמו SolarWinds).
9. Logging Failures — לא מתעדים, לא מזהים.
10. SSRF — הכרחת השרת לפנות למשאבים פנימיים.

איך ללמוד?

קחו כל קטגוריה, הבינו את הדוגמה, ותרגלו ב-OWASP Juice Shop (אפליקציה פגיעה בכוונה לתרגול). זו הדרך המהירה להפוך את הידע למעשי.