之前版本名称是“只用已知漏洞组件”（Known Vulnerabilities），在行业调查中位列第2，并有足够的数据通过数据分析进入Top 10排名。该类别从 2017 年的第9位上升，是一个难以测试和评估风险的已知问题。这是唯一没有任何 CVE 映射到包含的 CWE 的类别，因此以默认的利用和影响权重5.0计入评分标准。

防御

删除未使用的依赖项、不必要的功能、组件、文件和文档。

使用版本、OWASP Dependency Check、retire.js 等工具持续清点客户端和服务器端组件（例如框架、库）及其依赖项的版本。成分。使用软件组合分析工具来自动化该过程。订阅与您使用的组件相关的安全漏洞的电子邮件警报。

仅通过安全链接从官方来源获取组件。首选签名包以减少包含修改后的恶意组件的机会（请参阅 A08:2021-软件和数据完整性故障）。

监视未维护或未为旧版本创建安全补丁的库和组件。如果无法打补丁，请考虑部署虚拟补丁来监控、检测或防止发现的问题。

A07:2021-Identification and Authentication Failures 认证和授权失败

以前称为失效的身份认证（Broken Authentication），从第2位下滑至第7位。该主题仍然是前10的一个组成部分，但标准化框架可用性增加的由一定的帮助。

防御

在可能的情况下，实施多因素身份验证以防止自动凭证填充、暴力破解和被盗凭证重用攻击。

不要使用任何默认凭据进行交付或部署，尤其是对于管理员用户。

实施弱密码检查，例如针对前 10,000 个最差密码列表测试新密码或更改的密码。

将密码长度、复杂性和轮换策略与 NIST 800-63b 的第 5.1.1 节中关于记忆秘密的指南或其他现代的、基于证据的密码策略保持一致。

通过对所有结果使用相同的消息，确保注册、凭据恢复和 API 路径能够抵御帐户枚举攻击。

限制或增加延迟失败的登录尝试。当检测到凭证填充、暴力破解或其他攻击时，记录所有故障并提醒管理员。

使用服务器端、安全、内置的会话管理器，在登录后生成新的高熵随机会话 ID。会话 ID 不应在 URL 中，安全存储，并在注销、空闲和绝对超时后失效。

A08:2021-Software and Data Integrity Failures软件和数据完整性故障

2021 年的一个新主题，着眼于在不验证完整性的情况下，做出与软件更新、关键数据和 CI/CD 管道相关的假设。CVE/CVSS 数据中最高加权影响之一可以对应到A08中的10个CWE。2017年的不安全反序列化（Insecure Deserialization）现也属于软件和数据完整性故障的一部分。

如何预防

确保未签名或未加密的序列化数据不会在没有某种形式的完整性检查或数字签名的情况下发送到不受信任的客户端，以检测序列化数据的篡改或重放

通过签名或类似机制验证软件或数据来自预期来源

确保库和依赖项（例如 npm 或 Maven）使用受信任的存储库

确保使用软件供应链安全工具（例如 OWASP Dependency Check 或 OWASP CycloneDX）来验证组件不包含已知漏洞

确保您的 CI/CD 管道具有正确的配置和访问控制，以确保流经构建和部署过程的代码的完整性。

A09:2021-Security Logging and Monitoring Failures安全日志记录和监控失败

在此之前被称为日志记录和监控不足（ Insufficient Logging &Monitoring ）。是从行业调查第3位中添加的，从之前的第10位上升。此类别被扩大成为一个能够包含更多故障类型的主题，对于我们进行测试有一定的挑战性，而且在 CVE/CVSS 数据中也没有很好的表现。此类故障会直接影响到可见（visibility）、事件警报（incident alerting）和取证（forensics）的准确性。