ASVS
OWASP Application Security Verification Standard 4.0.3
งานนี้ได้รับอนุญาตภายใต้ Creative Commons Attribution-ShareAlike 4.0 International License
จุดมุ่งหมายหลักของโครงการมาตรฐานการตรวจสอบความปลอดภัยของแอปพลิเคชัน OWASP (ASVS) คือการจัดหามาตรฐานความปลอดภัยของแอปพลิเคชันแบบเปิดสำหรับเว็บแอปและบริการเว็บทุกประเภท
มาตรฐานดังกล่าวเป็นพื้นฐานสำหรับการออกแบบ การสร้าง และการทดสอบการควบคุมความปลอดภัยของแอปพลิเคชันทางเทคนิค รวมถึงข้อกังวลทางสถาปัตยกรรม วงจรการพัฒนาที่ปลอดภัย การสร้างแบบจำลองภัยคุกคาม การรักษาความปลอดภัยที่คล่องตัว รวมถึงการรวม/ปรับใช้อย่างต่อเนื่อง ไร้เซิร์ฟเวอร์ และข้อกังวลด้านการกำหนดค่า
เรารู้สึกขอบคุณองค์กรที่สนับสนุนโครงการทั้งผ่านการจัดสรรเวลาอันสำคัญหรือทางการเงินในหน้า "ผู้สนับสนุน" ของเรา!
กรุณาบันทึกปัญหาหากคุณพบข้อบกพร่องใด ๆ หรือมีความคิด เราอาจขอให้คุณเปิดคำขอดึงข้อมูลตามการสนทนาในประเด็นในภายหลัง เรายังมองหาคำแปลของสาขา 4.n อย่างจริงจังอีกด้วย
โครงการนี้นำโดยหัวหน้าโครงการสี่คน ได้แก่ Daniel Cuthbert, Jim Manico, Josh Grossman และ Elar Lang
พวกเขาได้รับการสนับสนุนจากคณะทำงาน ASVS ซึ่งประกอบด้วย Shanni Prutchi, Ralph Andalis, Meghan Jacquot, Iman Sharafaldin และ Ryan Armstrong
ขณะนี้เราได้เผยแพร่แผนงานและวัตถุประสงค์สำหรับ ASVS เวอร์ชัน 5.0 ในหน้าวิกินี้
เวอร์ชันเสถียรล่าสุดคือเวอร์ชัน 4.0.3 (ลงวันที่ตุลาคม 2021) ซึ่งสามารถพบได้:
สาขาหลักของพื้นที่เก็บข้อมูลนี้จะเป็น "เวอร์ชันตกเลือด" เสมอซึ่งอาจมีการเปลี่ยนแปลงที่อยู่ระหว่างดำเนินการหรือการแก้ไขอื่นๆ เปิดอยู่ เป้าหมายการเปิดตัวครั้งถัดไปจะเป็นเวอร์ชัน 5.0
สำหรับข้อมูลเกี่ยวกับการเปลี่ยนแปลงระหว่าง 4.0.2 และ 4.0.3 ของมาตรฐาน โปรดดูหน้าวิกินี้ และสำหรับความแตกต่างทั้งหมด โปรดดูคำขอดึงนี้
ความพยายามของชุมชน OWASP ที่เกี่ยวข้องกับการแปลถือเป็นความพยายามอย่างดีที่สุด แม้ว่าเราจะพยายามอย่างเต็มที่เพื่อให้แน่ใจว่าเนื้อหาถูกต้อง แต่จากมุมมองเชิงโครงสร้าง เรายังทำได้หลายอย่างเพื่อให้แน่ใจว่าคำแปลนั้นถูกต้อง เราไว้วางใจคุณซึ่งเป็นชุมชนในการช่วยทำให้ ASVS ใช้งานได้ทั่วโลกมากที่สุดเท่าที่จะเป็นไปได้ และการแปลสาขาหลักเป็นภาษาของคุณเป็นสิ่งสำคัญสำหรับโครงการ
หากคุณคิดว่าคุณสามารถช่วยแปลได้ หรือมั่นใจว่ารายการคำแปลปัจจุบันด้านล่างถูกต้อง เรายินดีอย่างยิ่งที่จะให้คุณเข้าร่วมชุมชนและทำให้ ASVS น่าทึ่งสำหรับทุกคน สำหรับข้อมูลเพิ่มเติมเกี่ยวกับการแปล ASVS โปรดดูส่วนการแปลของ CONTRIBUTING.md
ข้อกำหนดได้รับการพัฒนาโดยคำนึงถึงวัตถุประสงค์ต่อไปนี้:
รายการข้อกำหนด ASVS มีให้ในรูปแบบ CSV, JSON และรูปแบบอื่นๆ ซึ่งอาจเป็นประโยชน์สำหรับการอ้างอิงหรือการใช้งานแบบเป็นโปรแกรม
ข้อกำหนดแต่ละข้อมีตัวระบุในรูปแบบ <chapter>.<section>.<requirement> โดยที่แต่ละองค์ประกอบเป็นตัวเลข เช่น: 1.11.3 :
<chapter> สอดคล้องกับบทที่มีข้อกำหนดมา เช่น ข้อกำหนด 1.#.# ทั้งหมดมาจากบท Architecture<section> สอดคล้องกับส่วนภายในบทนั้นที่มีข้อกำหนดปรากฏขึ้น ตัวอย่างเช่น ข้อกำหนด 1.11.# ทั้งหมดอยู่ในส่วน Business Logic Architecture ของบท Architecture<requirement> ระบุข้อกำหนดเฉพาะภายในบทและส่วน ตัวอย่างเช่น: 1.11.3 ซึ่งในเวอร์ชัน 4.0.3 ของมาตรฐานนี้คือ:ตรวจสอบว่าโฟลว์ตรรกะทางธุรกิจที่มีมูลค่าสูงทั้งหมด รวมถึงการตรวจสอบสิทธิ์ การจัดการเซสชัน และการควบคุมการเข้าถึงนั้นปลอดภัยสำหรับเธรด และทนทานต่อสภาวะเวลาตรวจสอบและการแข่งขันเวลาใช้งาน
ตัวระบุอาจเปลี่ยนแปลงระหว่างเวอร์ชันของมาตรฐาน ดังนั้นจึงควรใช้เอกสาร รายงาน หรือเครื่องมืออื่นๆ ในรูปแบบ: v<version>-<chapter>.<section>.<requirement> โดยที่: 'version' คือ ASVS แท็กเวอร์ชัน ตัวอย่างเช่น: v4.0.3-1.11.3 เข้าใจว่าหมายถึงข้อกำหนดที่ 3 โดยเฉพาะในส่วน 'สถาปัตยกรรมลอจิกธุรกิจ' ของบท 'สถาปัตยกรรม' จากเวอร์ชัน 4.0.3 (ซึ่งสามารถสรุปเป็น v<version>-<requirement_identifier> )
หมายเหตุ: v ที่อยู่ข้างหน้าส่วนของเวอร์ชันจะต้องเป็นตัวพิมพ์เล็ก
หากใช้ตัวระบุโดยไม่รวมองค์ประกอบ v<version> ก็ควรถือว่าตัวระบุนั้นอ้างอิงถึงเนื้อหามาตรฐานการตรวจสอบความปลอดภัยของแอปพลิเคชันล่าสุด แน่นอนว่าเมื่อมาตรฐานเติบโตขึ้นและการเปลี่ยนแปลง สิ่งนี้จะกลายเป็นปัญหา ซึ่งเป็นเหตุผลว่าทำไมผู้เขียนหรือนักพัฒนาจึงควรรวมองค์ประกอบเวอร์ชันด้วย
เนื้อหาโครงการทั้งหมดอยู่ภายใต้ใบอนุญาต Creative Commons Attribution-Share Alike v4.0
