Что это такое: Злоумышленники могут действовать за пределами своих разрешенных прав, получая несанкционированный доступ к чужим данным или функциям администратора.

Пример: Изменение параметра в URL (например, account_id=123 на account_id=1) дает доступ к учетной записи другого пользователя без проверки прав сервером.

Предотвращение:

• Внедряйте механизмы проверки прав доступа строго на стороне сервера
• Используйте принцип наименьших привилегий (PoLP)
• Запрещайте доступ ко всем ресурсам по умолчанию (Deny by default)

Что это такое: Неправильные настройки безопасности в приложениях, фреймворках, серверах или облачных средах. Категория поднялась на 2-е место в 2025 году.

Пример: Оставленные включенными отладочные функции в production-среде, открытые S3-корзины без аутентификации или использование паролей по умолчанию.

Предотвращение:

• Автоматизируйте процессы проверки конфигурации среды
• Отключайте неиспользуемые функции и порты
• Применяйте подход "безопасность по умолчанию"

Что это такое: Новая категория 2025 года. Компрометация продукта через сторонние зависимости, инструменты сборки, CI/CD-конвейеры или образы контейнеров.

Пример: Внедрение вредоносного кода в популярный NPM-пакет или использование OpenSource-библиотеки с известной критической уязвимостью.

Предотвращение:

• Ведите и проверяйте SBOM (спецификацию программного обеспечения)
• Используйте автоматическое сканирование зависимостей (SCA)
• Загружайте пакеты только из доверенных реестров

Что это такое: Ошибки в реализации криптографии, которые приводят к утечке конфиденциальных данных (паролей, персональных или финансовых данных).

Пример: Использование устаревших алгоритмов хеширования (MD5/SHA1), передача данных в открытом виде по HTTP или жестко закодированные API-ключи в коде.

Предотвращение:

• Шифруйте данные при передаче (TLS) и во время хранения
• Используйте современные алгоритмы (например, Argon2id для паролей)
• Храните секреты в специализированных хранилищах (Vault)

Что это такое: Уязвимость возникает, когда недоверенные данные отправляются интерпретатору как часть команды или запроса (SQL, NoSQL, OS-команды, XSS).

Пример: Ввод вредоносного SQL-кода ' OR 1=1 -- в поле логина, который модифицирует запрос и заставляет базу данных вернуть все записи пользователей.

Предотвращение:

• Используйте параметризованные запросы (Prepared Statements)
• Избегайте прямого выполнения команд операционной системы
• Валидируйте и экранируйте все входные данные

Что это такое: Уязвимости, возникающие из-за отсутствия архитектурного планирования безопасности и моделирования угроз на ранних этапах разработки.

Пример: Механизм восстановления пароля, полагающийся на предсказуемые "секретные вопросы" (например, девичья фамилия матери), что позволяет легко взломать аккаунт.

Предотвращение:

• Внедряйте моделирование угроз (Threat Modeling) до написания кода
• Используйте безопасные паттерны проектирования
• Ограничивайте бизнес-логику (например, лимиты на транзакции)

Что это такое: Ошибки в механизмах проверки личности, управлении сессиями или восстановлении доступа, позволяющие злоумышленникам выдавать себя за других.

Пример: Отсутствие защиты от перебора паролей (brute-force) или использование токенов сессий с длительным сроком жизни без возможности их отзыва.

Предотвращение:

• Обязательно внедрите многофакторную аутентификацию (MFA)
• Ограничивайте количество неудачных попыток входа (Rate Limiting)
• Используйте безопасные, встроенные фреймворки сессий

Что это такое: Системы полагаются на обновления, плагины или данные из CI/CD без должной проверки их целостности, что приводит к несанкционированным изменениям.

Пример: Приложение загружает критическое обновление по незашифрованному каналу без проверки цифровой подписи, и злоумышленник подменяет файл.

Предотвращение:

• Проверяйте цифровые подписи для всех скачиваемых обновлений
• Используйте надежные механизмы проверки целостности (хэши)
• Ограничьте и защитите доступ к CI/CD пайплайнам

Что это такое: Отсутствие или неадекватность логов безопасности и мониторинга, что позволяет злоумышленникам долгое время оставаться незамеченными.

Пример: Система не записывает неудачные попытки входа или смены привилегий, из-за чего атака длится днями без срабатывания оповещений у команды ИБ.

Предотвращение:

• Журналируйте все ключевые события контроля доступа и ошибки
• Обеспечьте защиту логов от изменения или удаления злоумышленником
• Настройте оповещения об аномалиях в реальном времени (SIEM)

Что это такое: Новая категория 2025 года. Ошибки в логике обработки сбоев системы, приводящие к раскрытию конфиденциальной информации или "небезопасному отказу".

Пример: При ошибке подключения к базе данных приложение выводит пользователю полную трассировку стека (stack trace) с внутренними IP-адресами и фрагментами кода.

Предотвращение:

• Отображайте пользователям только общие сообщения об ошибках
• Логируйте детальную информацию об исключениях только на сервере
• Используйте принцип "безопасного отказа" (fail securely)