owasp应用安全验证标准 ASVS 4.0.3

OWASP应用安全验证标准 |OWASP基金会

ASVS安全应用评估标准是一项社区驱动的工作，旨在建立一个安全要求和控制的框架，在设计、开发和测试现代网络应用程序和网络服务时，定义所需要的功能和非功能性的安全控制措施。
《OWASP Top 10 2017》是避免疏忽的最低要求
ASVS 有两个主要目标：
• 帮助组织开发和维护安全的应用程序。
• 允许安全服务厂商、安全工具供应商和消费者调整他们的要求和产品。
地址：GitHub - OWASP/ASVS at v4.0.3

本文内容摘抄自4.0.3标准终版为2021年10月，有专门的中文翻译版本。

应用安全验证级别

应用程序安全验证标准（ ASVS ）定义了三个安全验证级别，每个级别的深度都在增加。

•

ASVS Level 1 适用于低保证级别，可通过渗透测试验证。在 4.0 版本中，我们决定让 L1 完全可渗透测试，而无需访问源代码、文档或开发人员

•

ASVS Level 2 适用于包含敏感数据的应用程序（需要保护），是大多数应用程序的推荐级别。

•

ASVS Level 3 适用于最关键的应用程序：执行高价值交易、包含敏感医疗数据的应用程序，或任何需要最高级别信任的应用程序。

执行 L2 或 L3 评估时，需要访问开发人员、文档、代码，以及访问具有非生产数据的

测试应用程序。在这些级别进行的渗透测试，需要这种级别的访问，我们称之为 “ 混合审查 ” 或 “ 混合渗透测试 ” 。

每个 ASVS 级别都包含一个安全要求的列表。其中的每一项，都可以对应到开发人员必须在软件中建立

的特定安全特性和功能。

如何使用这个标准

使用应用程序安全验证标准（ ASVS ）的最佳方法之一，是将其作为一个蓝图，创建一个针对您的应用程

序、平台或组织的安全编码检查表。建议您根据不同的项目场景，针对其中最重要的安全要求，在定

制的 ASVS 中增加关注。

Level 1 - 第一步，自动化，或全景图

Level 2 - 大多数应用程序

Level 3 - 高价值、高保证或高安全性

ASVS Level 3 ，是 ASVS 内的最高级别验证。这个级别通常保留给需要大量安全验证的应用，例如军事、健康、安全和关键基础设施等领域的应用。

评估和认证

认证组织必须在任何报告中包括验证的范围（特别是某个关键组件不在范围内时，如 SSO 身份验证）、验证结果的摘要，包括通过的和未通过的测试，并清楚地说明如何解决未通过的测试
某些验证要求可能不适用于被测试的应用程序
保留详细的工作底稿、屏幕截图或视频、可靠地重复利用一个问题的脚本，以及测试的电子记录，如拦截代理日志和相关的笔记（如清理清单）
测试方法认证机构可自由选择适当的测试方法，但应在报告中注明
鼓励使用自动化渗透测试工具以提供尽可能多的覆盖范围。