Kursus Pelatihan OWASP Top 10 2025

A01:2025 - Broken Access Control
A02:2025 - Security Misconfiguration
A03:2025 - Software Supply Chain Failures
A04:2025 - Cryptographic Failures
A05:2025 - Injection
A06:2025 - Insecure Design
A07:2025 - Authentication Failures
A08:2025 - Software or Data Integrity Failures
A09:2025 - Security Logging and Alerting Failures
A10:2025 - Mishandling of Exceptional Conditions

A01:2025 Broken Access Control - Kontrol akses menerapkan kebijakan sehingga pengguna tidak dapat bertindak di luar izin yang dimaksudkan. Kegagalan biasanya menyebabkan pengungkapan informasi tidak sah, modifikasi atau penghancuran semua data, atau menjalankan fungsi bisnis di luar batas pengguna.

A02:2025 Security Misconfiguration - Kesalahan konfigurasi keamanan terjadi ketika sistem, aplikasi, atau layanan cloud disetel dengan tidak benar dari perspektif keamanan, sehingga menciptakan kerentanan.

A03:2025 Software Supply Chain Failures - Kegagalan rantai pasokan perangkat lunak adalah gangguan atau kompromi lainnya dalam proses pembangunan, distribusi, atau pembaruan perangkat lunak. Mereka sering disebabkan oleh kerentanan atau perubahan berbahaya dalam kode pihak ketiga, alat, atau dependensi lain yang diandalkan oleh sistem.

A04:2025 Cryptographic Failures - Secara umum, semua data dalam transit harus dienkripsi pada lapisan transport (lapisan OSI 4). Hambatan sebelumnya seperti kinerja CPU dan manajemen kunci privat/sertifikat sekarang ditangani oleh CPU yang memiliki instruksi yang dirancang untuk mempercepat enkripsi (misalnya: dukungan AES) dan manajemen kunci privat serta sertifikat yang disederhanakan oleh layanan seperti LetsEncrypt.org, dengan vendor cloud besar menyediakan layanan manajemen sertifikat yang terintegrasi lebih erat untuk platform spesifik mereka. Selain mengamankan lapisan transport, penting untuk menentukan data apa yang perlu dienkripsi saat istirahat (at rest) serta data apa yang perlu enkripsi tambahan dalam transit (di lapisan aplikasi, lapisan OSI 7). Misalnya, kata sandi, nomor kartu kredit, catatan kesehatan, informasi pribadi, dan rahasia bisnis memerlukan perlindungan tambahan, terutama jika data tersebut tunduk pada undang-undang privasi, misalnya Peraturan Umum Perlindungan Data Uni Eropa (GDPR), atau regulasi seperti Standar Keamanan Data PCI (PCI DSS).

A05:2025 Injection - Kerentanan injeksi adalah cacat sistem yang memungkinkan penyerang menyisipkan kode atau perintah berbahaya (seperti kode SQL atau shell) ke dalam bidang input program, menipu sistem untuk mengeksekusi kode atau perintah tersebut seolah-olah merupakan bagian dari sistem. Hal ini dapat menyebabkan konsekuensi yang sangat serius.

A06:2025 Insecure Design - Desain yang tidak aman adalah kategori luas yang mewakili berbagai kelemahan, yang diekspresikan sebagai "kontrol desain yang hilang atau tidak efektif." Desain yang tidak aman bukanlah sumber dari semua kategori risiko Top Ten lainnya. Perhatikan bahwa terdapat perbedaan antara desain yang tidak aman dan implementasi yang tidak aman. Kami membedakan antara cacat desain dan cacat implementasi karena alasan tertentu; mereka memiliki penyebab akar yang berbeda, terjadi pada waktu yang berbeda dalam proses pengembangan, dan memiliki perbaikan yang berbeda. Desain yang aman masih dapat memiliki cacat implementasi yang menyebabkan kerentanan yang mungkin dieksploitasi. Desain yang tidak aman tidak dapat diperbaiki oleh implementasi yang sempurna karena kontrol keamanan yang diperlukan tidak pernah dibuat untuk defending serangan spesifik. Salah satu faktor yang berkontribusi terhadap desain yang tidak aman adalah kurangnya profiling risiko bisnis yang melekat pada perangkat lunak atau sistem yang sedang dikembangkan, dan dengan demikian kegagalan untuk menentukan tingkat desain keamanan yang diperlukan.

A07:2025 Authentication Failures - Ketika penyerang mampu menipu sistem untuk mengenali pengguna tidak valid atau salah sebagai sah, kerentanan ini hadir.

A08:2025 Software or Data Integrity Failures - Kegagalan integritas perangkat lunak dan data terkait dengan kode dan infrastruktur yang tidak melindungi terhadap kode atau data tidak valid atau tidak tepercaya yang diperlakukan sebagai tepercaya dan valid. Salah satu contoh adalah ketika aplikasi mengandalkan plugin, pustaka, atau modul dari sumber tepercaya, repositori, dan jaringan distribusi konten (CDN). Pipeline CI/CD yang tidak aman tanpa mengonsumsi dan menyediakan pemeriksaan integritas perangkat lunak dapat memperkenalkan potensi akses tidak sah, kode yang tidak aman atau berbahaya, atau kompromi sistem. Contoh lain untuk hal ini adalah CI/CD yang menarik kode atau artefak dari tempat yang tidak tepercaya dan/atau tidak memverifikasinya sebelum digunakan (dengan memeriksa tanda tangan atau mekanisme serupa).

A09:2025 Security Logging & Alerting Failures - Tanpa logging dan pemantauan, serangan dan pelanggaran tidak dapat dideteksi, dan tanpa peringatan, sangat sulit untuk merespons dengan cepat dan efektif selama insiden keamanan. Logging yang tidak memadai, pemantauan berkelanjutan, deteksi, dan peringatan untuk memulai respons aktif terjadi kapan saja

A10:2025 Mishandling of Exceptional Conditions - Penanganan kondisi pengecualian dalam perangkat lunak terjadi ketika program gagal mencegah, mendeteksi, dan merespons situasi yang tidak biasa dan tidak terduga, yang menyebabkan crash, perilaku tak terduga, dan terkadang kerentanan. Hal ini dapat melibatkan satu atau lebih dari 3 kegagalan berikut; aplikasi tidak mencegah situasi yang tidak biasa terjadi, tidak mengidentifikasi situasi saat sedang terjadi, dan/atau merespons dengan buruk atau sama sekali tidak merespons situasi tersebut setelahnya.

Kami akan mendiskusikan dan menyajikan aspek-aspek praktis dari:

Broken Access Control
- Contoh praktis kontrol akses yang rusak
- Kontrol akses yang aman dan praktik terbaik

Security Misconfiguration
- Contoh dunia nyata dari kesalahan konfigurasi
- Langkah-langkah untuk mencegah kesalahan konfigurasi, termasuk manajemen konfigurasi dan alat otomasi

Cryptographic Failures
- Analisis rinci kegagalan kriptografis seperti algoritma enkripsi yang lemah atau manajemen kunci yang tidak tepat
- Pentingnya mekanisme kriptografi yang kuat, protokol aman (SSL/TLS), dan contoh kriptografi modern dalam keamanan web

Injection Attacks
- Rincian rinci injeksi SQL, NoSQL, OS, dan LDAP
- Teknik mitigasi menggunakan prepared statements, query terparameterisasi, dan escaping input

Insecure Design
- Kami akan mengeksplorasi cacat desain yang dapat menyebabkan kerentanan, seperti validasi input yang tidak tepat
- Kami akan mempelajari strategi untuk arsitektur aman dan prinsip desain aman

Authentication Failures
- Masalah autentikasi umum
- Strategi autentikasi aman, seperti autentikasi multifaktor dan penanganan sesi yang tepat

Software and Data Integrity Failures
- Fokus pada masalah seperti pembaruan perangkat lunak yang tidak tepercaya dan manipulasi data
- Mekanisme pembaruan yang aman dan pemeriksaan integritas data

Security Logging and Monitoring Failures
- Pentingnya mencatat informasi yang relevan dengan keamanan dan memantau aktivitas mencurigakan
- Alat dan praktik untuk logging yang tepat dan pemantauan waktu nyata untuk mendeteksi pelanggaran lebih awal