Analisi vulnerabilità OWASP domande

Che cos'è OWASP?

OWASP è un'organizzazione no-profit che si dedica alla sicurezza delle applicazioni web, fornendo linee guida e strumenti per migliorare la sicurezza.

Vero o falso: OWASP pubblica una lista delle vulnerabilità più comuni.

Vero. OWASP pubblica regolarmente la OWASP Top Ten, che elenca le vulnerabilità più critiche nelle applicazioni web.

Cosa rappresenta la sigla CIA?

CIA sta per Confidenzialità, Integrità e Disponibilità, i tre principi fondamentali della sicurezza delle informazioni.

Qual è il principio di 'Least Privilege'?

Il principio di 'Least Privilege' afferma che ogni utente o sistema dovrebbe avere solo i permessi necessari per svolgere le proprie funzioni.

Compila il vuoto: La _____ è la misura della protezione dei dati riservati.

confidenzialità.

Quali sono i tre pilastri della sicurezza secondo OWASP?

Confidenzialità, Integrità, Disponibilità.

Cosa affronta il principio di 'Defense in Depth'?

Il principio di 'Defense in Depth' suggerisce di implementare più misure di sicurezza per proteggere le informazioni in modo multilivello.

Vero o falso: La validazione dei dati è essenziale per prevenire attacchi.

Vero. La validazione dei dati aiuta a prevenire attacchi come SQL injection e cross-site scripting.

Cosa implica la 'Security by Design'?

Significa integrare la sicurezza sin dalle prime fasi di sviluppo di un'applicazione, non come un'aggiunta successiva.

Fornisci un esempio di vulnerabilità OWASP.

SQL Injection è un esempio comune dove un attaccante inserisce codice SQL malevolo in un input per manipolare il database.

Qual è l'importanza della 'Documentazione' in OWASP?

La documentazione dettagliata aiuta gli sviluppatori a comprendere le best practice e a implementare misure di sicurezza efficaci.

Cosa è un attacco XSS?

Un attacco Cross-Site Scripting (XSS) consente all'attaccante di iniettare script dannosi in pagine web visualizzate da altri utenti.

Qual è la differenza tra vulnerabilità e minaccia?

Una vulnerabilità è una debolezza in un sistema, mentre una minaccia è un potenziale evento dannoso che può sfruttare quella vulnerabilità.

Qual è la funzione della crittografia nella sicurezza?

La crittografia protegge i dati rendendoli illeggibili per chi non possiede la chiave di decrittazione, garantendo così la confidenzialità.

Cosa significa autenticazione?

L'autenticazione è il processo di verifica dell'identità di un utente, spesso tramite username e password.

Vero o falso: Le patch di sicurezza sono opzionali.

Falso. Le patch di sicurezza sono essenziali per correggere vulnerabilità note e proteggere i sistemi.

Che cos'è l'Injection?

È una vulnerabilità che permette l'inserimento di codice malevolo nello script. Tipi comuni: SQL Injection, Command Injection.

Cos'è un Cross-Site Scripting (XSS)?

È una vulnerabilità che consente di iniettare script nel browser degli utenti. Può compromettere la sicurezza e la privacy.

Vero o falso: la Cross-Site Request Forgery (CSRF) richiede interazione dell'utente.

Falso: avviene senza il consenso dell'utente, sfruttando la sessione attiva.

Confronta OWASP e SANS.

OWASP: focus su vulnerabilità web. SANS: sicurezza informatica a livello più ampio.

Riempi il vuoto: l'_________ consente accessi non autorizzati.

Access Control Vulnerability

Che cos'è la Security Misconfiguration?

È la configurazione errata di sicurezza di un'applicazione o server. Esempi: default credentials, misconfigured HTTP headers.

Cosa può causare l'Insecure Direct Object Reference?

Accesso non autorizzato a dati sensibili. Esempio: URL manipolato per accedere a file riservati.

Qual è l'effetto dell'Insufficient Logging and Monitoring?

Difficoltà nel rilevare e rispondere a incidenti di sicurezza. Può portare a violazioni prolungate.

Che cos'è l'External Entity Injection (XXE)?

È una vulnerabilità che consente l'inclusione di entità esterne in documenti XML. Può esporre dati sensibili.

Quali sono le conseguenze dell'Unsafe File Upload?

Possibilità di caricare malware, eseguire codice malevolo sul server. Rischio elevato di compromissione.

Vero o falso: l'Insufficient Cryptography è solo una vulnerabilità di trasmissione.

Falso: riguarda anche la memorizzazione di dati sensibili in forma non crittografata.

Cos'è la Server-Side Request Forgery (SSRF)?

Un attacco che induce il server a fare richieste a risorse interne o esterne. Spesso sfruttato per informazioni riservate.

Qual è un esempio di Broken Authentication?

Utilizzo di password deboli o non scadenti. Gli aggressori possono facilmente ottenere l'accesso agli account.

Che cos'è l'Insecure Deserialization?

È una vulnerabilità che si verifica quando dati non attendibili vengono deserializzati, creando opportunità di attacco.

Riempi il vuoto: l'_________ può portare a un attacco DDoS.

Resource Exhaustion

Che cos'è il Broken Access Control?

È una vulnerabilità che permette a un utente non autorizzato di accedere a risorse riservate. - Permette l'accesso a dati sensibili - Può esporre informazioni personali - Rischio elevato se non gestito correttamente.