Development of an information system for the quantitative assessment of web application security based on the OWASP ASVS standard

Abstract

Спроєктовано інформаційну систему для оцінювання захищеності вебзастосунків на основі авторської методики. Розроблена авторами методика оцінювання безпеки вебдодатків базується на вимогах стандарту OWASP Application Security Verification Standard (ASVS) та адаптується під різні архітектури та функціонал застосунків шляхом відбору множини релевантних вимог і визначення їх впливу на загальну оцінку. Кількісна оцінка вимог обчислюється за допомогою системи розроблених критеріїв та алгоритму їх оцінки з урахуванням експертних оцінок вагових коефіцієнтів важливості. Оцінювання проводиться кількома експертами для уникнення суб’єктивності суджень. Узгодження експертних оцінок проводиться в підсистемі нечіткої логіки. Описано всі етапи автоматизації процесу оцінювання – від збирання вихідних даних до обчислення інтегрального показника захищеності з урахуванням вагових коефіцієнтів. Інформаційна система підтримує модульну архітектуру, персоналізовану роботу з проєктами та візуалізацію результатів, що уможливлює її використання для аудитів інформаційної безпеки. Описано логічну структуру бази даних, яка забезпечує ієрархічне зберігання вимог, критеріїв оцінювання та результатів експертної перевірки. Структура включає підсистеми управління користувачами, проєктами, нормативною базою та результатами, що дозволяє ефективно масштабувати рішення під потреби різних організацій. Розроблено інтерфейс користувача, який забезпечує повноцінний цикл взаємодії з системою – від ініціалізації проєкту до отримання графічного звіту про рівень захищеності. Система реалізована за принципами сервіс-орієнтованої архітектури із застосуванням сучасного стеку технологій, зокрема Laravel, MySQL, Bootstrap і Chart.js. Проведено тестування інформаційної системи на прикладі тестового вебзастосунку OWASP Juice Shop, що підтверджує її ефективність у виявленні критичних проблем безпеки та формалізованому поданні результатів.

The design of an information system for assessing the security of web applications based on an original methodology developed by the authors is presented in this paper. The proposed security assessment methodology is based on the requirements of the OWASP Application Security Verification Standard (ASVS) and adapted to various application architectures and functionalities by selecting a set of relevant requirements and determining their impact on the overall evaluation. The quantitative assessment of requirements is calculated using a system of developed criteria and an evaluation algorithm that incorporates weight coefficients of importance assigned by experts. The assessment is carried out by multiple experts to minimize subjectivity in judgments. The aggregation of expert judgments is performed within a fuzzy logic subsystem. The article describes all stages of the assessment process automation – from collecting input data to calculating the integrated security score, taking into account the weight coefficients. The information system supports a modular architecture, personalized project workflows, and result visualization, enabling its application in information security audits