ASVS
OWASP Application Security Verification Standard 4.0.3
Este trabalho está licenciado sob uma Licença Internacional Creative Commons Attribution-ShareAlike 4.0.
O objetivo principal do Projeto OWASP Application Security Verification Standard (ASVS) é fornecer um padrão aberto de segurança de aplicativos para aplicativos da web e serviços da web de todos os tipos.
O padrão fornece uma base para projetar, construir e testar controles técnicos de segurança de aplicativos, incluindo questões de arquitetura, ciclo de vida de desenvolvimento seguro, modelagem de ameaças, segurança ágil, incluindo integração/implantação contínua, sem servidor e questões de configuração.
Reconhecemos com gratidão as organizações que apoiaram o projeto através de uma provisão significativa de tempo ou financeiramente na nossa página "Apoiadores"!
Registre os problemas se encontrar algum bug ou se tiver ideias. Posteriormente, poderemos solicitar que você abra uma solicitação pull com base na discussão do problema. Também estamos procurando ativamente traduções do ramo 4.n.
O projeto é liderado pelos quatro líderes de projeto Daniel Cuthbert, Jim Manico, Josh Grossman e Elar Lang.
Eles são apoiados pelo Grupo de Trabalho ASVS, composto por Shanni Prutchi, Ralph Andalis, Meghan Jacquot, Iman Sharafaldin e Ryan Armstrong.
Publicamos agora nosso roteiro e objetivos para a versão 5.0 do ASVS nesta página wiki.
A versão estável mais recente é a versão 4.0.3 (datada de outubro de 2021), que pode ser encontrada:
O branch master deste repositório será sempre a "versão de ponta", que pode ter alterações em andamento ou outras edições abertas. O próximo lançamento será a versão 5.0 .
Para obter informações sobre alterações entre 4.0.2 e 4.0.3 do padrão, consulte esta página wiki e para uma comparação completa, consulte esta solicitação pull.
O esforço da Comunidade OWASP no que diz respeito às traduções é o melhor esforço. Embora façamos o máximo para garantir que o conteúdo seja válido, do ponto de vista estrutural, há muito que podemos fazer para garantir que as traduções estejam corretas. Contamos com vocês, comunidade, para ajudar a tornar o ASVS o mais utilizável possível em todo o mundo, e traduzir o ramo principal para o seu idioma é importante para o projeto.
Se você acha que pode ajudar com as traduções, ou mesmo garantir que a lista atual de traduções abaixo esteja correta, adoraríamos que você se juntasse à comunidade e tornasse o ASVS incrível para todos. Para obter mais informações sobre como traduzir o ASVS, consulte a seção de traduções de CONTRIBUTING.md.
Os requisitos foram desenvolvidos com os seguintes objetivos em mente:
As listas de requisitos ASVS são disponibilizadas em CSV, JSON e outros formatos que podem ser úteis para referência ou uso programático.
Cada requisito possui um identificador no formato <chapter>.<section>.<requirement> onde cada elemento é um número, por exemplo: 1.11.3 :
<chapter> corresponde ao capítulo de onde vem o requisito, por exemplo: todos os requisitos 1.#.# são do capítulo Architecture .<section> corresponde à seção dentro desse capítulo onde o requisito aparece, por exemplo: todos os requisitos 1.11.# estão na seção Business Logic Architecture do capítulo Architecture .<requirement> identifica o requisito específico dentro do capítulo e seção, por exemplo: 1.11.3 que a partir da versão 4.0.3 desta norma é:Verifique se todos os fluxos lógicos de negócios de alto valor, incluindo autenticação, gerenciamento de sessão e controle de acesso, são thread-safe e resistentes a condições de corrida de tempo de verificação e tempo de uso.
Os identificadores podem mudar entre as versões do padrão, portanto é preferível que outros documentos, relatórios ou ferramentas usem o formato: v<version>-<chapter>.<section>.<requirement> , onde: 'version' é o ASVS etiqueta de versão. Por exemplo: v4.0.3-1.11.3 seria entendido como significando especificamente o terceiro requisito na seção 'Arquitetura Lógica de Negócios' do capítulo 'Arquitetura' da versão 4.0.3. (Isso pode ser resumido como v<version>-<requirement_identifier> .)
Nota: O v que precede a parte da versão deve estar em letras minúsculas.
Se os identificadores forem usados sem incluir o elemento v<version> , então deve-se presumir que eles se referem ao conteúdo mais recente do Application Security Verification Standard. Obviamente, à medida que o padrão cresce e muda, isso se torna problemático, e é por isso que os escritores ou desenvolvedores devem incluir o elemento version.
Todo o conteúdo do projeto está sob a licença Creative Commons Attribution-Share Alike v4.0 .
