聚焦关键风险：OWASP Top 10 2025

Sebastian Brandes高级首席产品经理 | F5

长期以来，OWASP Top 10一直是了解Web应用关键安全风险的公认参考标准。OWASP发布2025版后，引起了全球安全团队的广泛关注。今天，我们很高兴地宣布，F5 Distributed Cloud Web App Scanning现已全面支持OWASP Top 10 2025，帮助组织识别并修复最需要关注的漏洞。

OWASP Top 10 2025 有哪些新变化？

OWASP Top 10 2025版更新分析了Web应用安全领域主要供应商提供的超过280万个应用的数据，并将248个通用缺陷枚举（CWE）映射到10个类别中，范围较以往版本显著扩大。

2025年更新引入了两个全新类别，并整合了其他类别，以反映不断演变的威胁形势。OWASP尽可能将重点放在根本原因而非表面现象上，使相关指南更便于开发团队付诸实践。

以下是完整的OWASP Top 10 2025：

• A01:2025：访问控制失效仍位居第1，是严重程度较高的应用安全风险。平均而言，受测应用中有3.73%存在此类别所含40个CWE中的一个或多个。值得注意的是，服务端请求伪造（SSRF）在2021年曾作为独立类别位列第10，现已合并至此类别。
• A02:2025：安全配置错误从2021年的第5位升至第2位。随着现代软件工程日益依赖配置驱动的行为，配置错误也越来越普遍。根据OWASP的数据，3.00%的受测应用存在此类别的漏洞。
• A03:2025：软件供应链故障是一个新类别，扩展了此前“易受攻击和过时的组件”风险类别的范围。它涵盖软件依赖项、构建系统和分发基础设施整个生态系统中的安全失陷。尽管此类风险在测试数据中出现次数最少，但其平均可利用性和影响评分在各类别中较高。
• A04:2025：加密机制失效从第2位降至第4位。尽管排名发生变化，仍有3.80%的应用存在加密机制弱点，可能导致敏感数据泄露或系统遭到入侵。
• A05:2025：注入从第3位降至第5位，但仍是测试最广泛且相关CVE数量较多的类别之一。此类别涵盖从跨站脚本到SQL注入的各种漏洞。
• A06:2025 - 不安全设计从第4位降至第6位。该类别于2021年引入，随着业界采用威胁建模和安全设计实践，已取得显著改善。
• A07:2025 - 身份验证失败排名保持不变，名称由“身份识别和身份验证失败”略作调整。标准化身份验证框架的采用日益广泛，似乎正在减少此类问题的发生。
• A08:2025：软件或数据完整性失效继续位列第8位，重点关注未能维持信任边界，以及未能验证软件、代码和数据制品完整性的情况。
• A09:2025：安全日志记录和告警失效仍位列第9，但名称有所调整，以突出告警的重要性。正如OWASP所指出的：即使日志记录非常完善，如果没有告警，对于识别安全事件的价值也十分有限。
• A10:2025：异常情况处理不当是一个新类别，包含24个CWE，重点涵盖错误处理不当、逻辑错误、故障时开放，以及由异常情况引发的其他场景。

F5 Distributed Cloud Web App Scanning如何应对OWASP 2025年十大风险

Distributed Cloud Web App Scanning覆盖全部10个类别，并将50个测试类映射到新框架。

对于核心类别，包括访问控制失效、安全配置错误、加密机制失效、注入、不安全设计、身份验证失效以及软件或数据完整性失效，我们的扫描器可提供全面的检测能力。

这些类别受益于经过多年实际扫描不断完善的成熟测试套件。我们还新增了测试，以反映最新版本中各类别范围的变化。例如，失效的访问控制现在涵盖服务端请求伪造（SSRF），后者此前是一个独立类别；安全配置错误的范围也有所扩展，以应对配置驱动型环境日益增加的复杂性。

新版OWASP Top 10中新增和扩展的部分风险类别（例如软件供应链故障（A03:2025））超出了现有易受攻击依赖项检测的范围，因此我们新增了针对未修补系统和错误配置组件的测试。这些系统和组件经常被攻击者用于供应链攻击。

日志记录与告警失效（A09:2025）是一个更名后的类别，现在除日志记录外，也强调告警。我们的新测试有助于发现安全事件监控中的缺口，这些缺口可能会延误事件检测。

针对新增类别“异常情况处理不当”（A10:2025），我们引入了多项测试，用于检测错误消息中的敏感数据泄露、缺少自定义错误页面以及对意外参数处理不当等问题。这些都是应用无意中向攻击者泄露信息的常见方式。

为何这对您的安全计划至关重要

合规框架、渗透测试标准和安全评估经常引用OWASP十大风险。借助更新后的扫描器，组织可以更轻松地与现行标准保持一致。安全报告现在会将发现的问题映射到2025年版类别，从而更便于向利益相关方说明风险，并证明符合引用OWASP的框架要求。

组织还可以更有效地确定风险修复的优先级。OWASP Top 10反映了通过测试数百万个应用程序得出的真实攻击模式。团队将修复工作重点放在这些类别上，可以处理最有可能被利用的漏洞。

组织还应在犯罪分子采取行动之前，主动应对新出现的风险。软件供应链故障等新类别凸显了近年来显著增多的攻击途径。尽管测试数据有限，供应链漏洞的可利用性和影响评分仍处于较高水平；我们的扫描器有助于抢在攻击者之前发现这些风险。

开始使用

现有Distributed Cloud Web App Scanning客户的扫描结果将自动采用更新后的OWASP Top 10 2025映射。无需更改配置，只需照常运行扫描，并查看按新框架分类的发现结果。

对于采用本地部署的组织，现已提供更新后的Docker镜像，其中包含完整的OWASP Top 10 2025测试套件。

如果您刚开始了解Distributed Cloud Web App Scanning，现在正适合评估动态应用安全测试如何增强安全态势。我们的扫描器兼具全面的漏洞检测能力与全托管SaaS平台的易用性，可帮助安全团队保护应用，同时免去传统动态应用安全测试（DAST）工具带来的运维负担。

要详细了解F5 Distributed Cloud Web App Scanning及其OWASP Top 10 2025功能，请访问产品页面，或联系我们的团队预约演示。

关于作者

Sebastian Brandes高级首席产品经理 | F5

Sebastian Brandes 的更多博客文章