Web Application Security Fundamentals #04: Mengenal OWASP Top 10:2025

Gambar referensi memakai OWASP Top 10:2021. Untuk seri baru, kita harus menggunakan release resmi 2025. Yang lebih penting, OWASP Top 10 bukan daftar seluruh vulnerability dan bukan bukti bahwa aplikasi aman.

Etika dan scope: praktikkan hanya pada local lab, aplikasi milik sendiri, atau sistem yang memberikan izin tertulis. Tutorial ini tidak mengizinkan pengujian terhadap target publik.

Tujuan pembelajaran

• menyebutkan kategori OWASP Top 10:2025 secara benar
• memahami perubahan penting dari 2021
• membedakan awareness list, verification standard, dan testing guide
• mengubah kategori risiko menjadi pekerjaan engineering

Prasyarat

Gunakan browser modern, Developer Tools, dan local lab. Catat versi tool serta environment ketika menguji. Output contoh bersifat ilustratif kecuali dinyatakan sebagai hasil pengujian; jangan menganggap perilaku satu stack berlaku universal.

1. Gunakan daftar resmi 2025

OWASP Top 10:2025 terdiri dari:

1. A01 Broken Access Control
2. A02 Security Misconfiguration
3. A03 Software Supply Chain Failures
4. A04 Cryptographic Failures
5. A05 Injection
6. A06 Insecure Design
7. A07 Authentication Failures
8. A08 Software or Data Integrity Failures
9. A09 Security Logging and Alerting Failures
10. A10 Mishandling of Exceptional Conditions

A10 adalah kategori baru yang menyoroti error handling, logical error, fail-open, dan kondisi abnormal. Software Supply Chain Failures memperluas perhatian dari sekadar dependency dengan vulnerability yang diketahui menjadi kegagalan supply chain yang lebih luas.

2. Jangan memperlakukan ranking sebagai prioritas universal

Ranking global tidak otomatis sama dengan risk ranking aplikasi Anda. Portal publik, internal payroll, marketplace, dan static site memiliki asset serta threat berbeda. Lakukan threat modeling dan risk assessment lokal.

3. Pahami peran dokumen OWASP

• Top 10: awareness document.
• ASVS: requirement yang dapat diverifikasi.
• WSTG: panduan security testing.
• Cheat Sheet Series: guidance implementasi topikal.

Mengatakan “sudah scan OWASP Top 10” keliru karena kategori seperti Insecure Design dan business logic tidak selesai dengan satu scanner.

4. Buat mapping ke backlog

Contoh mapping:

5. Hindari checklist theater

Satu kategori dapat mencakup banyak CWE, dan satu vulnerability dapat berkaitan dengan beberapa kategori. Jangan memaksa semua temuan ke satu kotak. Catat asset, scenario, likelihood, impact, remediation owner, due date, dan verification.

6. Latihan aman

Pilih satu feature milik sendiri. Buat tiga abuse case, misalnya object enumeration, duplicate transaction, dan dependency timeout. Petakan ke kategori OWASP hanya setelah skenario jelas. Lalu cari control dan verification requirement yang lebih spesifik pada ASVS atau Cheat Sheet.

Kesalahan umum

• Mengutip daftar 2021 sebagai daftar terbaru.
• Menyebut Top 10 sebagai standard sertifikasi aplikasi.
• Menyamakan bebas temuan scanner dengan aman.
• Mengabaikan business logic dan exceptional condition.
• Menyalin mitigation tanpa memeriksa versi framework.

Quality gate sebelum diterapkan

• [ ] Scope dan asset sudah jelas.
• [ ] Control dijalankan di sisi yang menjadi security boundary.
• [ ] Positive test dan negative test tersedia.
• [ ] Error tidak membocorkan secret atau detail internal.
• [ ] Logging cukup untuk detection tanpa merekam credential.
• [ ] Versi dependency dan dokumentasi dicatat.
• [ ] Tidak ada klaim “100% aman”.
• [ ] Perubahan diuji pada staging atau local lab.

Kesimpulan

OWASP Top 10 membantu menyusun awareness, tetapi serangan datang melalui jalur konkret. Tutorial berikutnya membahas common attack vectors dan cara memetakannya secara aman.

Referensi resmi

• OWASP Top 10:2025 — diakses 22 Agustus 2026.
• OWASP Cheat Sheet Series — diakses 22 Agustus 2026.
• OWASP Web Security Testing Guide — Stable — diakses 22 Agustus 2026.
• MDN Web Security — diakses 22 Agustus 2026.