ASVS
OWASP Application Security Verification Standard 4.0.3
Este trabajo está bajo una licencia internacional Creative Commons Atribución-CompartirIgual 4.0.
El objetivo principal del proyecto OWASP Application Security Verification Standard (ASVS) es proporcionar un estándar de seguridad de aplicaciones abierto para aplicaciones web y servicios web de todo tipo.
El estándar proporciona una base para diseñar, construir y probar controles de seguridad de aplicaciones técnicas, incluidas cuestiones de arquitectura, ciclo de vida de desarrollo seguro, modelado de amenazas, seguridad ágil que incluye integración/implementación continua, sin servidor y cuestiones de configuración.
¡Reconocemos con gratitud a las organizaciones que han apoyado el proyecto, ya sea a través de una importante provisión de tiempo o financieramente, en nuestra página de "Partidarios"!
Registre los problemas si encuentra algún error o si tiene ideas. Posteriormente, es posible que le solicitemos que abra una solicitud de extracción basada en la discusión del problema. También estamos buscando activamente traducciones de la rama 4.n.
El proyecto está dirigido por los cuatro líderes del proyecto: Daniel Cuthbert, Jim Manico, Josh Grossman y Elar Lang.
Cuentan con el apoyo del Grupo de Trabajo de ASVS, formado por Shanni Prutchi, Ralph Andalis, Meghan Jacquot, Iman Sharafaldin y Ryan Armstrong.
Ahora hemos publicado nuestra hoja de ruta y objetivos para la versión 5.0 de ASVS en esta página wiki.
La última versión estable es la versión 4.0.3 (con fecha de octubre de 2021), que se puede encontrar:
La rama maestra de este repositorio siempre será la "versión de última generación" que podría tener cambios en progreso u otras ediciones abiertas. El próximo objetivo de lanzamiento será la versión 5.0 .
Para obtener información sobre los cambios entre 4.0.2 y 4.0.3 del estándar, consulte esta página wiki y para obtener una diferencia completa, consulte esta solicitud de extracción.
El esfuerzo de la comunidad OWASP con respecto a las traducciones es el mejor esfuerzo. Si bien hacemos todo lo posible para garantizar que el contenido sea válido, desde una perspectiva estructural, hay mucho que podemos hacer para garantizar que las traducciones sean correctas. Confiamos en ustedes, la comunidad, para ayudar a que ASVS sea lo más utilizable posible en todo el mundo, y traducir la rama principal a su idioma es importante para el proyecto.
Si cree que puede ayudar con las traducciones, o incluso garantizar que la lista actual de traducciones a continuación sea correcta, nos encantaría que se uniera a la comunidad y hiciera que ASVS fuera increíble para todos. Para obtener más información sobre la traducción del ASVS, consulte la sección de traducciones de CONTRIBUTING.md.
Los requisitos fueron desarrollados con los siguientes objetivos en mente:
Las listas de requisitos de ASVS están disponibles en CSV, JSON y otros formatos que pueden resultar útiles como referencia o uso programático.
Cada requisito tiene un identificador en el formato <chapter>.<section>.<requirement> donde cada elemento es un número, por ejemplo: 1.11.3 :
<chapter> corresponde al capítulo del que proviene el requisito, por ejemplo: todos los requisitos 1.#.# son del capítulo Architecture .<section> corresponde a la sección dentro de ese capítulo donde aparece el requisito, por ejemplo: todos los requisitos 1.11.# están en la sección Business Logic Architecture del capítulo Architecture .<requirement> identifica el requisito específico dentro del capítulo y sección, por ejemplo: 1.11.3 que a partir de la versión 4.0.3 de este estándar es:Verifique que todos los flujos de lógica empresarial de alto valor, incluida la autenticación, la gestión de sesiones y el control de acceso, sean seguros para subprocesos y resistentes a las condiciones de carrera de tiempo de verificación y tiempo de uso.
Los identificadores pueden cambiar entre versiones del estándar, por lo que es preferible que otros documentos, informes o herramientas utilicen el formato: v<version>-<chapter>.<section>.<requirement> , donde: 'versión' es el ASVS etiqueta de versión. Por ejemplo: se entendería que v4.0.3-1.11.3 significa específicamente el tercer requisito en la sección 'Arquitectura de lógica de negocios' del capítulo 'Arquitectura' de la versión 4.0.3. (Esto podría resumirse como v<version>-<requirement_identifier> .)
Nota: La v que precede a la parte de la versión debe estar en minúsculas.
Si se utilizan identificadores sin incluir el elemento v<version> , se debe asumir que hacen referencia al contenido más reciente del Estándar de verificación de seguridad de aplicaciones. Obviamente, a medida que el estándar crece y cambia, esto se vuelve problemático, razón por la cual los escritores o desarrolladores deberían incluir el elemento de versión.
Todo el contenido del proyecto está bajo la licencia Creative Commons Attribution-Share Alike v4.0 .
