Контекст
Security Engineering Overview
OWASP Top 10 лучше использовать как архитектурную рамку, а не список уязвимостей.
OWASP Top 10 в system design - это способ встроить безопасность в архитектурные решения: от границ доверия и модели доступа до observability и CI/CD controls. Цель не в том, чтобы "закрыть чекбоксы", а в том, чтобы системно снижать вероятность и impact инцидентов.
OWASP Top 10: архитектурные контроли
Broken Access Control
Централизованная policy engine, deny-by-default, authz на каждом boundary, tenant isolation.
Cryptographic Failures
TLS everywhere, правильное управление ключами, field-level encryption для чувствительных атрибутов.
Injection
Параметризованные запросы, strict schema validation, безопасный query builder, sandboxing.
Insecure Design
Threat modeling на этапе дизайна, abuse-case-driven требования, security review как часть ADR.
Security Misconfiguration
Secure defaults, policy as code, immutable infra, drift detection, baseline hardening.
Vulnerable Components
Dependency governance, SBOM, регулярный patching cycle и CVE-триаж по критичности.
Authentication Failures
MFA, короткоживущие токены, защита refresh flow, session revocation.
Integrity Failures
Подписанные артефакты, контроль цепочки поставки, verified CI/CD pipeline.
Logging/Monitoring Failures
Audit trail, security telemetry, корреляция событий, alerting и incident runbooks.
SSRF
Egress policy, network segmentation, deny-list metadata endpoints, safe outbound proxies.
Как внедрять в lifecycle
- На этапе требований: фиксируйте security non-functional requirements и abuse cases.
- На этапе архитектуры: определяйте trust boundaries, data flows и зону ответственности компонентов.
- На этапе реализации: security gates в CI/CD (SAST/DAST/dependency checks/policy checks).
- На этапе эксплуатации: observability, detection, incident drills, регулярные security reviews.
Типичные антипаттерны
Рассматривать OWASP как чеклист только для backend-кода, а не как архитектурную задачу.
Отсутствие threat modeling для новых интеграций и внешних API.
Смешение privileged и untrusted трафика в одном плоскости доступа.
Security logging без корреляции и без понятных сигналов для on-call команды.
Каждый пункт OWASP должен иметь owner, контроль и метрику эффективности.