OWASP Top 10 (Web) ile OWASP API Top 10 arasındaki fark nedir?

Kısa cevap

İkisi de OWASP'ın güvenlik riski listeleridir ama farklı hedefleri kapsar. OWASP Top 10 (Web) web uygulamalarının en kritik on risk kategorisini A01-A10 koduyla sıralar (ör. A01 Broken Access Control, A03 Injection); OWASP API Security Top 10 ise API'lere özgü on riski API1-API10 koduyla sıralar (ör. API1 Broken Object Level Authorization, API4 Unrestricted Resource Consumption, API6 Unrestricted Access to Sensitive Business Flows). TR7 WAF imzalarını iki listeyle ayrı ayrı eşler ve 2021 Web ile 2023 API sürümlerinin kodlarını kullanır: Signature & Rule Library'de OWASP Web Coverage ve OWASP API Coverage kartları, WAF Dashboard'da Detected Attacks by OWASP Top 10 (Web) ve Detected Attacks by OWASP API Top 10 grafikleri, WAF Event Logs'ta OWASP Web ve OWASP API filtreleri vardır.

TR7'de Nerede Kullanılır

Nerede	Alan / etiket	Ne için
WAF → Signature & Rule Library	OWASP Web Coverage, OWASP API Coverage kartları, kolonları ve Filter grupları	Kütüphanenin iki listeden kaçını karşıladığı; bir kuralın karşılığı
Signature & Rule Library → kural önizlemesi	Classification sekmesi → OWASP Web, OWASP API	Bir kuralın iki listedeki kodları
WAF-Protected vService → Dashboard	Detected Attacks by OWASP Top 10 (Web), Detected Attacks by OWASP API Top 10	Tespitlerin A01-A10 ve API1-API10 kategorilerine dağılımı
WAF-Protected vService → Event Logs	OWASP Web, OWASP API filtreleri	Kayıtları iki listeye göre süzme
WAF Management → WAF Report	Classification sekmesi → OWASP Web, OWASP API	Dönemin tespitlerinin iki listeye göre kırılımı
WAF Management → SIEM & Attack Details	Attack details in WAF info → OWASP Web (List), OWASP API (List)	SIEM'e giden saldırı kaydına iki listenin kodlarını ekleme

Karşılaştırma

	OWASP Top 10 (Web)	OWASP API Security Top 10
Kapsam	Web uygulamaları	REST, GraphQL gibi API'ler
Kod biçimi (TR7'deki sürüm)	A01:2021 … A10:2021	API1:2023 … API10:2023
Öne çıkan riskler	Erişim kontrolü, injection, güvensiz tasarım, SSRF	Nesne ve fonksiyon düzeyinde yetkilendirme, kaynak tüketimi, hassas iş akışlarına sınırsız erişim, güvensiz API tüketimi
TR7 grafiği	Detected Attacks by OWASP Top 10 (Web)	Detected Attacks by OWASP API Top 10

Sık Karıştırılan Noktalar

• "API'ler yalnızca API Top 10 ile korunur." API'ler injection gibi web risklerine de açıktır; TR7'de bir kural iki listeyle birden eşlenebilir ve iki liste birbirini tamamlar.
• "İki liste aynı kategorilerin farklı numaralandırılmasıdır." API listesi nesne düzeyinde yetkilendirme ve iş akışı kötüye kullanımı gibi API'lere özgü riskleri ayrı kategoriler olarak öne çıkarır.
• "Her kuralın iki listede de karşılığı vardır." Bir kural yalnızca birinde ya da hiçbirinde eşlenmemiş olabilir; kullanıcının eklediği özel kurallarda bu alanlar boş kalır.

API'lerin TR7 WAF ile korunması: REST API'lerimi TR7 WAF ile koruyabilir miyim?

Dokümantasyonda nasıl yapılır

• Signature & Rule Library · Kütüphane Özeti Kartları
• WAF Dashboard · Detected Attacks by OWASP Top 10 (Web)
• WAF Dashboard · Detected Attacks by OWASP API Top 10

İlgili sorular

• Bir kuralın hangi OWASP Top 10, CWE, CAPEC ve MITRE ATT&CK karşılıkları olduğunu nasıl görürüm?
• REST API'lerimi TR7 WAF ile koruyabilir miyim?
• OWASP ve OWASP Top 10 nedir; TR7 WAF'ta nerede görünür?