应用安全【免费下载链接】Top10Official OWASP Top 10 Document Repository项目地址https://gitcode.com/gh_mirrors/top/Top10点击查看免费下载本文基于 OWASP Top 10 官方文档仓库OWASP Top 10 2021 文档集中的西班牙语版 A09 条目 2021/docs/es/A09_2021-Security_Logging_and_Monitoring_Failures.md系统解读“安全日志与监控失效”这一风险类别它的量化数据依据、判定“日志监控不足”的具体迹象、可落地的防护控制清单以及三个典型的真实入侵案例。读完本文你能够对照官方原文逐项检查自身应用与 DevSecOps 流程在审计事件记录、日志格式、告警阈值和事件响应方面的缺口并知道如何在当前仓库中定位该类别的完整文档体系与配套数据说明。一、类别定位从 2017 版 A10 到 2021 版 A09在 OWASP Top 10 2021 中A09 全称为“Fallas en el Registro y Monitoreo de la Seguridad”安全日志与监控失效。根据仓库中西班牙语版引言 2021/docs/es/A00_2021_Introduction.md 的说明该类别的前身是 2017 版排名第十的A10:2017 日志与监控不足Registro y Monitoreo Insuficientes它在 2021 版 OWASP Top 10 社区调查encuesta de la comunidad中位列第三名由此正式入选并提升至第九位与纯数据驱动入选的类别不同A09 属于“社区调查驱动”入选的两类之一——因为日志与监控类问题难以自动化测试、在 CVE/CVSS 数据中体现不足一线专家的判断在此类风险上不可或缺2021 版对该类别的范围做了扩展它不再只是“日志不够”而是覆盖检测detect、升级escalar和响应responder活跃入侵的整条链路其缺失会直接损害可追责性auditabilidad、可视化visibilidad、事件告警alertas de incidentes和取证分析análisis forense。从仓库结构看该文档位于 2021 版的西班牙语翻译目录2021/docs/es/下。整个 2021 文档站由 MkDocs 构建es语言在 2021/mkdocs.yml 的i18n插件中注册locale: esname: es - Español其中 A09 的导航项被翻译为“A09 Fallas en el Registro y Monitoreo”。英文原版对应文件为 2021/docs/en/A09_2021-Security_Logging_and_Monitoring_Failures.md两者内容一一对应英文版描述中还额外列出了“日志数据未正确编码会导致日志/监控系统本身被注入攻击”这一条描述项。二、数据因子官方 Factors 表逐项解读A09 原文档开篇给出的“Factores”数据因子表格如下这是理解该类别量化风险的核心映射的 CWE 数最高发生率平均发生率平均加权可利用性平均加权影响最高测试覆盖率平均测试覆盖率总出现次数CVE 总数419.23%6.51%6.874.9953.67%39.97%53,615242这些列的含义并非自明的仓库中的西班牙语版引言 2021/docs/es/A00_2021_Introduction.md 的“Factores de datos”一节给出了权威定义逐项对照如下CWEs mapeadas映射的 CWE 数 4由 Top 10 团队分配给该类别的 CWE 数量。本文末尾一节会列出这 4 个 CWE。Tasa de incidencia发生率被某组织某年测试的应用中至少存在一个该 CWE 实例的应用所占的百分比。原文档最高值 19.23%、平均值 6.51%意味着在被覆盖的测试中最多有近五分之一的应用存在日志监控类弱点整体均值约 6.5%。Cobertura测试覆盖率所有贡献组织中针对某 CWE 实际执行过测试的应用比例。A09 的最高覆盖率仅 53.67%、平均 39.97%——这在 Top 10 各类别中属于偏低水平侧面印证了原文档“日志和监控很难测试”的判断很多组织根本没有对这一类做系统性测试。Explotabilidad ponderada加权可利用性 6.87、Impacto ponderado加权影响 4.99取自 NVD 中映射到该类别 CWE 的 CVE 的 CVSSv2/CVSSv3 子评分归一化到 10 分制后的均值详见引言中“Cómo se utilizan los datos”一节的方法论。Total de ocurrencias总出现次数 53,615在数据集中发现该类别 CWE 的应用总次数。Total CVEs 242NVD 数据库中映射到该类别 CWE 的 CVE 总数。正如原文档所述这个数量相对有限因此该类别的风险排序更多依赖社区调查而非纯 CVE/CVSS 数据。补充一点数据来源仓库2021/Data/目录保存了 2021 版数据收集data call的模板与说明。2021/Data/sample-data-submission.csv 展示了贡献者提交格式的核心字段包括NumberofAppsTested测试应用总数、CWE、NumberofAppsPer存在该 CWE 的应用数、TimePeriod、TypeofTesting如 TAH等——Factors 表中的发生率正是由“存在该 CWE 的应用数 / 测试应用总数”这类口径汇总计算而来。同时2021/Data/CWE-Guidance.md 提供了 CWE 映射参考清单其中包含与 A09 直接相关的CWE-223Omission of Security-relevant Information和CWE-778Insufficient Logging说明社区贡献者在提交数据时可对照该清单完成 CWE 归类。三、为什么日志与监控“难测试”原文档的 Resumen概述部分明确指出 A09 的测试困境这也是理解整个类别的关键背景测试方式特殊日志与监控无法像 SQL 注入那样用载荷直接验证。实践中往往需要访谈entrevistas或在渗透测试结束后追问“攻击是否被检测到、是否触发了告警”——检测能力只能通过“攻击发生时是否被告警”来反向证明。CVE/CVSS 数据稀疏该类别只有 242 个关联 CVE远低于注入、访问控制等类别无法用纯漏洞数据库数据衡量其风险。影响面却很大即便缺少数据支撑日志监控失败一旦真实发生冲击的是可审计性、可视化、事件告警和取证四条安全运营生命线——这正是它能在社区调查中获得第三名的原因。原文档还说明了该类别覆盖的 CWE 边界它从CWE-778Insufficient Logging日志不足扩展出来纳入CWE-117日志输出未正确中和、CWE-223遗漏安全相关信息和CWE-532敏感信息写入日志文件即不仅关心“记不记”还关心“记什么、怎么记、谁能看到”。四、日志与监控失效的七类典型迹象原文档的 Descripción描述部分给出了判定标准应用“在以下任何时刻”都构成了日志、检测、监控与主动响应不足。这一清单可以直接当作自查核对表使用审计事件未记录登录、登录失败、高价值交易等可审计事件eventos auditables没有被记录。日志信息质量差警告和错误没有生成日志、日志不充分或日志信息含糊不清poco claros, inadecuados导致无法用于事后分析。日志无人监控应用和 API 的日志没有接入任何针对可疑活动actividades sospechosas的监控。日志仅本地存储日志只存在于应用主机本地主机失陷或宕机后证据即丢失。告警与升级流程失效告警阈值umbrales de alerta和响应升级流程procesos de escalamiento未正确实现或实现了但不有效。渗透测试无法触发告警渗透测试和 DAST 动态应用安全测试工具原文档点名 OWASP ZAP产生的攻击没有触发任何告警——这是验证“检测是否真实生效”最直接的方法如果连自己的安全测试都测不出来生产环境的攻击同样会被漏过。无法实时/近实时响应应用无法对正在发生的攻击进行实时或近实时的检测、升级和告警。此外原文档单独强调了一类信息泄漏风险如果日志和告警事件对用户或攻击者可见本身就会成为信息泄漏源需与 A01: 2021 访问控制失效 联合防护——日志端点、健康检查接口、错误堆栈若可被匿名访问监控体系就会反向暴露系统内部细节。五、预防控制清单从记录到响应的六项措施原文档的“Cómo se previene”部分要求开发者根据应用风险等级实施下列全部或部分控制逐条继承如下完整记录失败事件并保留足够上下文确保所有登录失败、访问控制失败、服务端输入校验失败都能被记录且带有足够的用户上下文suficiente contexto以便识别可疑或恶意账户同时日志要保留足够长时间支持事后延迟的取证分析。日志格式面向日志管理系统日志应生成日志管理解决方案log management易于消费的格式machine-readable、结构化字段为后续的集中收集与关联分析留好接口。日志数据正确编码确保日志数据被正确编码防止针对日志/监控系统本身的注入攻击或伪造对应 CWE-117 日志注入问题。高价值交易具备防篡改审计轨迹高价值交易要有带完整性控制的审计轨迹traza de auditoría con controles de integridad例如数据库表只允许插入append-only、禁止更新与删除防止篡改或删除。DevSecOps 建立有效告警与监控由 DevSecOps 团队建立监控与告警机制目标是“可疑活动被快速检测并快速响应”——检测与响应速度是该控制的验收标准。建立或采用事件响应与恢复计划采纳成熟的事件响应框架原文档明确点名NIST SP 800-61r2 或更高版本计算机安全事件处理指南。原文档还给出了两类可落地的工具路线应用层防护框架商业与开源 WAF 规则集原文档点名OWASP ModSecurity Core Rule SetOWASP CRS用于在边缘拦截常见攻击并产生结构化访问日志开源日志关联平台原文档点名ELK 栈Elasticsearch、Logstash、Kibana通过自定义仪表盘paneles personalizados和告警规则将分散的应用日志汇聚为可运营的安全监控能力。六、三个真实攻击场景没有日志监控的代价原文档“Ejemplos de escenarios de ataque”部分给出三个公开案例完整继承如下场景 #1儿童健康保险网站美国。由于缺乏监控与日志网站运营方无法自行发现入侵直到外部人员告知攻击者已访问并篡改了超过350 万儿童的敏感健康记录。事后复盘发现网站开发者并未修复显著漏洞由于系统没有任何日志与监控数据泄露可能自 2013 年就已开始持续超过 7 年而完全无感。这个案例是“日志缺失让入侵时长不可度量”的典型。场景 #2印度某大型航空公司。涉及数百万旅客超过 10 年的个人数据泄露包括护照和信用卡数据。泄露发生在第三方云存储服务商侧且是服务商在一段时间之后才通知航司——说明跨供应链的监控与告警链条断裂时事件发现时延会急剧拉长。场景 #3欧洲某大型航空公司GDPR 可报告事件。攻击者利用支付应用漏洞窃取超过 40 万条用户支付记录航司最终被隐私监管机构处以2000 万英镑罚款。该案例说明日志监控失效不仅造成数据损失还会触发监管层面的直接财务后果。七、映射的 CWE 清单与参考资料原文档“Lista de CWEs mapeadas”部分将 A09 映射到以下 4 个 CWE与 Factors 表中“CWEs mapeadas 4”一致CWE名称在 A09 语境下的含义CWE-778Insufficient Logging日志不足该类别的基础 CWE关键安全事件未被记录CWE-117Improper Output Neutralization for Logs日志输出未正确中和日志注入攻击者通过日志字段写入伪造/恶意内容CWE-223Omission of Security-relevant Information遗漏安全相关信息记录了事件但缺少排查所需的安全相关字段CWE-532Insertion of Sensitive Information into Log File敏感信息写入日志日志反向泄漏口令、令牌等敏感数据进入日志四个 CWE 构成一个闭环视角记什么778、223、怎么记117、不能记什么532。其中 CWE-223 与 CWE-778 同时出现在仓库的数据提交参考清单 2021/Data/CWE-Guidance.md 中方便贡献者在数据收集时完成归类。原文档“Referencias”一节列出的参考资料均为外部规范文档此处按其名称列出以便查阅仓库中不保留外链OWASP Proactive Controls 的“Implement Logging and Monitoring”主动控制 C9、OWASP 应用安全验证标准 ASVS 的 V8 Logging and Monitoring 卷、OWASP 测试指南的“Testing for Detailed Error Code”、OWASP 备忘录Cheat Sheet系列中的 Application Logging Vocabulary 与 Logging 两份指南以及 NIST 数据完整性三部曲 SP 1800-11 / SP 1800-25 / SP 1800-26勒索软件等破坏性事件的恢复、防护、检测与响应。八、在仓库中如何定位与使用本文档西班牙语原文2021/docs/es/A09_2021-Security_Logging_and_Monitoring_Failures.md英文对照版2021/docs/en/A09_2021-Security_Logging_and_Monitoring_Failures.md。类别变更背景与 Factors 各列定义2021/docs/es/A00_2021_Introduction.md。数据收集模板与 CWE 映射参考2021/Data/sample-data-submission.csv、2021/Data/CWE-Guidance.md。文档站构建配置MkDocs i18n 多语言导航2021/mkdocs.yml本地构建方式见 2021/README.md创建 Python 虚拟环境、pip install -r requirements.txt后执行mkdocs serve即可在本地预览含 A09 在内的全部文档页。小结A09 传递的核心理念是——日志与监控不是开发收尾的“可选项”而是检测、升级、响应活跃入侵的基础设施。官方文档给出的七类失效迹象可直接用于渗透测试后的检测能力验收关键判据自方渗透测试/DAST 扫描是否触发了告警六项预防控制则覆盖了从事件记录、日志编码、防篡改审计轨迹到 DevSecOps 告警与 NIST 800-61r2 事件响应计划的完整闭环。赞分享应用安全【免费下载链接】Top10Official OWASP Top 10 Document Repository项目地址https://gitcode.com/gh_mirrors/top/Top10点击查看免费下载相关推荐OWASP Top 10:2021 A09 安全日志与监控失效从失效判定、CWE 映射到可落地的防护控制OWASP Top 10:2021 A09 安全日志与监控失效从失效判定、CWE 映射到可落地的防护控制 本文基于 OWASP Top 10 官方文档仓库中应用安全OWASP Top 10 2021 A09:2021 安全日志与监控失效评估指标、CWE 映射与防攻击实践德语官方文档解读OWASP Top 10 2021 A09:2021 安全日志与监控失效评估指标、CWE 映射与防攻击实践德语官方文档解读 本篇技术文章基于 OWASP应用安全国家中小学智慧教育平台电子课本下载指南3 步批量保存教材 PDF国家中小学智慧教育平台电子课本下载指南3 步批量保存教材 PDF 在智慧教育平台翻教材想把 PDF 存到本地得自己从网址参数里抠下载地址。tchMater应用安全上一篇探索NP2kai穿越时光的数字复古之旅下一篇6个实用技巧全面掌握网易云音乐无损下载工具创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考