OWASP

OWASP，现扩展为开放全球应用安全项目（Open Worldwide Application Security Project），是一个国际非营利软件安全社区，其工作重点是提高Web应用、应用程序接口、移动软件、系统软件、云连接服务以及新兴技术的安全性。其公开工作围绕开放项目、志愿者分会、会议、教育材料、标准、测试工具和风险指南组织，而非传统的商业产品组合。 Mark Curphey于2001年9月9日启动了该项目。该倡议发展为一个在线和社区主导的努力，旨在使实用的应用安全知识更容易为开发人员、测试人员、架构师、安全专业人员、教育工作者和组织所获取。其最著名的成果是OWASP Top 10，一份定期更新的风险意识文档，识别了重要的应用安全弱点类别。该项目已成为软件开发项目、安全培训、采购要求、标准工作和合规讨论中的常见参考点。其影响力超出了OWASP社区，因为外部组织和安全框架经常引用或与Top 10保持一致。 OWASP基金会是一家美国501(c)(3)非营利组织，成立于2004年，为该项目提供基础设施和组织支持。OWASP还于2011年在欧洲建立了非营利机构OWASP Europe VZW。更广泛的OWASP模式允许贡献者在开放的社区结构下创建和维护项目，地方分会和全球倡议与基金会并行运作。这使得OWASP能够发布从入门级开发人员指南到正式验证标准、软件保证成熟度模型等材料。 其主要资源包括OWASP Top 10、应用安全验证标准、软件保证成熟度模型、OWASP测试指南、代码审查指南和事件响应指南。OWASP还维护或支持用于教育和测试的实用工具和故意易受攻击的应用程序。OWASP ZAP是一个著名的开源Web应用渗透测试工具，而WebGoat是一个故意不安全的应用程序，旨在教授安全编程和漏洞分析。 该组织已逐步将其范围扩大到传统Web应用之外。项目和指南涉及API安全、针对Web应用的自动化威胁、应用安全流水线、XML安全、移动和连接技术以及人工智能的安全影响。据报道，2023年2月，该组织批准将名称从开放Web应用安全项目改为开放全球应用安全项目，以反映这一更广泛的职责。2023年5月，OWASP生成式AI安全项目启动，旨在记录与大型语言模型及相关系统相关的重要风险。 OWASP当前的角色最好被理解为一个由非营利基金会支持的安全知识和协作的开放平台。它不像单一供应商的安全公司那样运作：其价值在于社区维护的知识、免费提供的标准和指南、开源软件、专业活动以及全球从业者网络。领导层和项目所有权可能随时间变化，许多举措由志愿者和贡献者维护，而非单一集中的产品组织。

OWASP始于2001年9月9日，当时Mark Curphey发起了一项旨在提高Web应用安全实用信息可用性的倡议。它发展为一个在线社区，而非传统的软件供应商。该项目鼓励从业者分享指导、测试方法、教育材料和开源软件，以帮助组织识别和减少应用漏洞。 一个重要的早期里程碑是OWASP Top 10的创建，首次发布于2003年。该列表将重要的应用安全风险组织成一份简洁的意识文档，供开发人员、测试人员、管理人员和采购团队使用。随着时间的推移，它成为该组织最知名的出版物之一，并被外部标准、行业计划和政府相关的安全指南引用。其影响力帮助OWASP成为讨论应用安全弱点的通用词汇。 OWASP基金会于2004年在美国成立，为501(c)(3)非营利组织。该基金会支持OWASP项目、活动、分会和出版物背后的技术和行政基础设施。该组织还于2011年在比利时创建了欧洲非营利结构OWASP Europe VZW。这些结构支持一个分布式的国际社区，同时保持项目的开放和志愿者导向的特点。 Jeff Williams从2003年底到2011年9月担任志愿者主席。Matt Konda在2015年被确定为董事会主席。OWASP的治理和项目领导层在其他方面通过其基金会、董事会、项目负责人、地方分会和贡献者演变。由于许多举措由社区维护，该组织从未仅由单一商业产品或执行团队定义。 其产品组合从一般Web应用指导扩展到正式标准、成熟度模型、测试资源、安全开发教育和实用工具。应用安全验证标准为验证应用安全控制提供了结构化基础。软件保证成熟度模型解决了软件保证程序的开发和管理。测试指南和代码审查指南为安全测试和审查活动提供了方法论支持。OWASP ZAP成为著名的开源Web应用测试工具，而WebGoat提供了故意易受攻击的环境，用于动手学习。 OWASP还开发了涉及API、自动化威胁、应用安全流水线、XML安全、移动和连接技术以及其他与软件保证相关领域的项目。随着软件变得更加分布式，AI系统变得更加突出，该组织扩大了其职责范围。2023年，据报道董事会批准将组织名称中的“Web”替换为“Worldwide”。同年，OWASP还启动了生成式AI安全项目，旨在识别和解释涉及大型语言模型的重要风险。 如今，OWASP作为一个全球非营利社区和知识平台运作。其主要贡献是免费提供的指导、开源工具、标准、教育项目、会议和本地从业者网络的结合。该组织仍然活跃，但个别项目、版本、领导者和出版时间表可以在更广泛的基金会结构内独立变化。

• 2023

  名称扩展为开放全球应用安全项目

  [1]OWASPen.wikipedia.org

  据报道，该组织将其正式扩展名从开放Web应用安全项目改为开放全球应用安全项目。

• 2023

  生成式AI安全项目启动

  [1]OWASPen.wikipedia.org

  OWASP启动了一个专注于生成式AI和大型语言模型相关安全风险的项目。

• 2011

  欧洲非营利机构注册

  [1]OWASPen.wikipedia.org

  OWASP Europe VZW在比利时注册。

• 2004

  OWASP基金会成立

  [1]OWASPen.wikipedia.org

  美国501(c)(3) OWASP基金会成立，以支持OWASP基础设施和项目。

• 2003

  首个OWASP Top 10发布

  [1]OWASPen.wikipedia.org

  OWASP推出了其Top 10风险列表，该列表成为广泛使用的应用安全意识参考。

• 2001

  OWASP成立

  [1]OWASPen.wikipedia.org

  Mark Curphey于2001年9月9日启动了OWASP倡议。

一个开放的、社区主导的、面向全球的实用应用安全知识、标准、教育和工具来源。

• 风险指南 · 2003

  OWASP Top 10

  一份定期更新的主要应用安全风险类别列表。它旨在作为开发人员、安全团队、管理人员、教育工作者和建立安全开发优先级的组织的意识和沟通资源。该列表经常被用作应用安全计划的起点，并被外部标准和行业指南引用。

• 安全标准

  OWASP应用安全验证标准

  一个用于定义和验证应用安全要求的结构化标准。ASVS为团队提供了比高风险列表更详细的安全架构、开发、测试、采购和保证基础，并可适应不同的应用类型和保证需求。

• 开源安全工具

  OWASP ZAP

  一个开源的Web应用安全测试和渗透测试工具。ZAP旨在帮助安全专业人员和开发人员在测试和开发工作流程中检查、攻击和评估Web应用。

• 安全教育

  WebGoat

  一个故意不安全的Web应用，用作动手学习环境。它允许用户在受控环境中学习常见的Web漏洞和安全编程实践，而不是针对生产系统进行测试。

• 成熟度模型

  OWASP软件保证成熟度模型

  一个用于评估和改进组织软件保证实践的框架。SAMM帮助组织评估治理、构建、验证和相关活动，并利用结果规划渐进式安全改进计划。

• 测试指导

  OWASP测试指南

  一份评估Web应用安全性的实用指导。它涉及测试方法和技术，旨在支持应用安全测试人员和开发团队进行可重复的评估。

• AI安全指导 · 2023

  OWASP生成式AI安全项目

  一项专注于记录与生成式人工智能和大型语言模型系统相关的安全风险的举措。它代表了OWASP向新兴软件和AI安全问题的扩展。

• 2023

  扩大组织名称和职责范围战略

  背景

  OWASP的项目已扩展到传统Web应用之外，涉及API、移动和连接技术、软件保证以及新兴AI系统。

  采取的行动

  据报道，董事会批准将扩展名从开放Web应用安全项目改为开放全球应用安全项目。

  后续影响

  新措辞反映了更广泛的全球和技术中立范围，同时保留了OWASP缩写。

  来源

• 2023

  启动生成式AI安全项目新品

  背景

  生成式AI和大型语言模型的快速采用带来了传统Web安全指南未完全涵盖的新应用和模型安全问题。

  采取的行动

  OWASP启动了一个项目，以记录与生成式AI和大型语言模型相关的关键安全风险。

  后续影响

  该举措将OWASP的公开指导和项目组合扩展到AI安全领域。

  来源

1. 1OWASPen.wikipedia.org
2. 2OWASP official websiteowasp.org